TerminalFix est une variante récente de ClickFix : l’utilisateur voit un faux contrôle Cloudflare, copie une commande, puis l’exécute dans Windows Terminal ou PowerShell. Pour une entreprise, le risque dépasse le poste infecté : vol d’identifiants, rebond vers le réseau interne, reconnaissance Active Directory et tunnel chiffré vers l’attaquant. La priorité consiste à réduire l’usage abusif de PowerShell, surveiller les commandes et former les équipes.
TerminalFix : ce qui change par rapport aux attaques ClickFix classiques
Microsoft Security Research a publié le 28 août 2026 une analyse de TerminalFix, présenté comme une campagne active visant des organisations de plusieurs secteurs. Le principe appartient à la famille ClickFix : au lieu d’exploiter uniquement une faille technique, l’attaquant pousse l’utilisateur à exécuter lui-même une action dangereuse.
La différence notable tient au geste demandé. Les premières campagnes ClickFix invitaient souvent à ouvrir la boîte « Exécuter » de Windows. TerminalFix oriente aussi la victime vers Windows Terminal ou PowerShell, l’outil d’administration de Windows qui permet d’automatiser des commandes système.
Pour un dirigeant, ce détail compte. Une alerte antivirus bloquée sur un fichier joint est une chose ; un collaborateur qui colle une commande dans un terminal, persuadé de résoudre un CAPTCHA, crée un scénario plus discret et parfois plus difficile à expliquer après coup. Ce n’est pas une erreur stupide. C’est une manipulation conçue pour contourner les réflexes habituels.
Le faux Cloudflare : déroulé concret de l’attaque
Le scénario observé commence par un site compromis. Il peut s’agir d’un site légitime piraté, par exemple un WordPress mal maintenu, qui affiche une fausse surcouche ressemblant à Cloudflare Turnstile, le système de vérification anti-bot de Cloudflare. L’utilisateur croit devoir prouver qu’il est humain.
La page propose alors de copier une commande, ou la place directement dans le presse-papiers via une fonction JavaScript comme navigator.clipboard.writeText. Puis elle demande de coller cette commande dans PowerShell, Windows Terminal ou parfois la boîte Exécuter. Un vrai CAPTCHA ne demande jamais d’ouvrir un terminal.
Une fois lancée, la commande peut appeler powershell.exe avec des options suspectes comme -w hidden pour cacher la fenêtre, -nop pour éviter le profil utilisateur, ou -c pour exécuter une instruction. D’autres campagnes ClickFix documentées en 2025-2026 ont utilisé mshta.exe, msiexec.exe, curl, wget ou bash, selon le système ciblé.
Sur les projets que nous menons, nous voyons souvent le même angle mort : la sécurité du site web public est traitée séparément de celle des postes internes. TerminalFix montre l’inverse. Un site compromis peut devenir le premier maillon d’une intrusion qui finit dans l’environnement bureautique ou serveur.
Pourquoi le risque métier est plus sérieux qu’un simple malware
D’après Microsoft, la chaîne TerminalFix observée téléchargeait une archive ZIP contenant LockScreenContentServer.exe et une DLL malveillante nommée dui70.dll, extraite dans C:ProgramDataf47f2a8c21c9df4e. La technique de DLL sideloading consiste à faire charger une bibliothèque piégée par un programme apparemment légitime.
Microsoft indique aussi que la DLL récupérait des charges utiles cachées dans des images PNG par stéganographie, c’est-à -dire la dissimulation de données dans un fichier d’apparence ordinaire. La persistance passait par des clés de registre HKCU Run et des tâches planifiées relançant l’exécutable toutes les 60 minutes.
Le point le plus sensible, côté entreprise, arrive ensuite : reconnaissance du domaine, recherche d’administrateurs, inventaire des ordinateurs et utilisateurs Active Directory, ping de serveurs ciblés, collecte d’informations système. En clair, l’attaquant ne cherche pas seulement à infecter un poste. Il regarde comment l’entreprise est organisée.
Le rapport Microsoft décrit enfin un implant utilisant un runtime Python embarquable signé et un fichier client.py pour créer un tunnel WebSocket chiffré vers gitnow[.]dev:443. Un tunnel inverse permet à l’attaquant de communiquer avec la machine compromise comme si elle initiait elle-même la connexion sortante. Beaucoup de pare-feu laissent passer le port 443, celui du HTTPS.
Conséquence pratique : si des indicateurs TerminalFix sont trouvés sur un poste, il ne faut pas le traiter comme un incident isolé. Microsoft recommande d’envisager ce poste comme un possible point de pivot réseau, d’investiguer les mouvements latéraux et de renouveler les identifiants accessibles depuis la machine.
Budget, délais, arbitrages : par où commencer sans tout refaire
La bonne protection contre TerminalFix n’est pas un produit miracle. C’est un empilement raisonnable de mesures : limitation des droits, contrôle des scripts, surveillance des commandes, filtrage web et entraînement des utilisateurs. À ce budget, mieux vaut corriger trois faiblesses très exploitées que financer un audit théorique de 80 pages sans mise en œuvre.
| Mesure | Délai réaliste PME | Ordre de coût en France | Bénéfice principal |
|---|---|---|---|
| Sensibilisation courte : faux CAPTCHA, Terminal, PowerShell | 1 à 2 semaines | 500 à 2 000 € selon format | Réduit le clic final, souvent décisif |
| Retrait des droits administrateur locaux | 2 à 6 semaines | 1 500 à 8 000 € selon parc | Limite l’installation et la persistance |
| Filtrage DNS/Web : Cloudflare Gateway, Cisco Umbrella, DNSFilter | 1 à 3 semaines | Autour de 2 à 6 € par utilisateur/mois | Bloque domaines récents ou suspects |
| EDR avec télémétrie scripts : Microsoft Defender for Endpoint, CrowdStrike, SentinelOne | 3 à 8 semaines | Autour de 5 à 15 € par poste/mois, hors intégration | Détecte PowerShell et processus enfants anormaux |
| AppLocker, WDAC ou Constrained Language Mode | 4 à 10 semaines | 3 000 à 15 000 € selon complexité | Réduit l’abus des scripts et binaires Windows |
Ces chiffres sont des ordres de grandeur constatés sur le marché français, variables selon le nombre de postes, l’outillage déjà en place et l’exigence de continuité. Une TPE de 15 personnes ne déploiera pas WDAC comme une PME industrielle de 250 postes. Honnêtement, les restrictions les plus strictes ne se justifient que si vous avez les moyens de tester les applications métier avant déploiement.
Le piège fréquent consiste à bloquer PowerShell brutalement. Certaines tâches d’administration, de supervision ou de déploiement logiciel en dépendent. Une politique trop dure crée des contournements, donc du risque. Côté agence, le réflexe est de commencer par mesurer : qui lance PowerShell, depuis quel outil, avec quels paramètres, puis de restreindre progressivement.
Checklist de protection contre TerminalFix pour une PME
La défense efficace commence par des règles simples, compréhensibles par la direction comme par l’infogérance. Le but n’est pas de transformer chaque collaborateur en analyste SOC (centre de supervision sécurité), mais de supprimer les chemins faciles utilisés par l’attaquant.
- Former les équipes : un CAPTCHA Cloudflare, Google ou autre ne demande pas d’ouvrir Windows Terminal, PowerShell, Exécuter ou Terminal macOS.
- Supprimer les droits administrateur locaux pour les comptes courants, avec un compte séparé pour l’administration si nécessaire.
- Restreindre PowerShell via Constrained Language Mode, AppLocker ou Windows Defender Application Control lorsque le contexte le permet.
- Surveiller les commandes à risque :
powershell.exe -w hidden -nop -c,Invoke-Expression, commandes encodées en Base64, téléchargements depuis URL,mshta.exedistant,msiexec.exe /i URL /qn. - Déployer un EDR capable de remonter les scripts, les processus enfants lancés par le navigateur et les connexions sortantes inhabituelles.
- Filtrer DNS et Web pour bloquer les domaines nouvellement créés, suspects ou déjà signalés, y compris sur les postes nomades.
- Prévoir une procédure de signalement : capture d’écran, URL, heure, poste concerné, sans que l’utilisateur ait peur d’être sanctionné.
Le RGPD, applicable depuis 2018, ajoute une dimension de gouvernance. Si l’incident entraîne une violation de données personnelles, l’entreprise peut devoir documenter l’événement, évaluer le risque pour les personnes concernées et, dans certains cas, notifier la CNIL sous 72 heures. La technique rejoint vite le juridique.
La sécurité du site public mérite aussi sa place dans cette checklist. Des campagnes ShadowCaptcha signalées en 2025 par l’Israel National Digital Agency et Ring0 évoquaient plus de 100 sites WordPress compromis servant de relais vers de fausses pages CAPTCHA. Maintenir WordPress, ses extensions, son hébergement et ses accès administrateur réduit la probabilité que votre propre site serve d’appât. Pour les projets web qui manipulent des comptes clients ou des formulaires, le choix d’une architecture adaptée dès le départ compte autant que le design ; c’est le même arbitrage que lorsqu’on compare application mobile ou site web selon les usages réels.
Détection : les signaux faibles à demander à votre prestataire
Un prestataire informatique ou un SOC doit pouvoir rechercher des traces concrètes. La chasse commence souvent par les processus lancés depuis un navigateur : Chrome, Edge ou Firefox qui déclenchent PowerShell, cmd.exe, mshta.exe ou msiexec.exe. Ce comportement n’est pas toujours malveillant, mais il mérite une explication.
Les journaux Windows, l’EDR et le proxy web doivent être croisés. Une commande PowerShell cachée suivie d’un téléchargement depuis un domaine récent, puis d’une tâche planifiée, forme un faisceau beaucoup plus solide qu’une alerte isolée. Recorded Future a décrit en mars 2026 un cluster ClickFix utilisant plus de 40 domaines, dont alababababa[.]cloud, avec des leurres adaptés à Windows et macOS entre mai 2025 et mars 2026.
Le filtrage réseau ne remplace pas la supervision du poste. Des domaines changent, des charges utiles se cachent dans des fichiers anodins, et le trafic HTTPS est courant. En revanche, une politique DNS/Web sérieuse bloque souvent les campagnes opportunistes avant l’exécution de la commande.
Si vous faites évoluer votre présence numérique, pensez sécurité dès les choix d’hébergement et de domaine. Un transfert ou une reprise mal cadrée peut laisser des accès, DNS ou boîtes mail dans un état fragile ; le sujet rejoint les précautions à prendre lors d’un transfert de nom de domaine sans perte de contrôle. Même logique pour le référencement : une stratégie de visibilité attire du trafic, mais elle doit s’appuyer sur un socle technique propre, comme on le rappelle souvent lorsqu’il faut choisir entre une approche SEO locale ou nationale.
Réagir si un collaborateur a collé la commande
La première décision est d’isoler le poste du réseau, sans l’éteindre si une analyse mémoire est prévue. Ensuite, prévenez votre prestataire sécurité ou infogérant, conservez l’URL, la commande copiée, les captures et l’heure approximative. Plus ces éléments sont précis, plus l’investigation est rapide.
Il faut aussi considérer les identifiants exposés. Messagerie, VPN, outils métier, sessions navigateur, coffres de mots de passe : tout ce qui était accessible depuis le poste peut devoir être révoqué ou renouvelé. Pour un compte à privilèges, n’attendez pas la confirmation complète de l’infection.
La remise en service ne devrait pas se limiter à supprimer un fichier. Recherchez les tâches planifiées, les clés de registre de démarrage, les connexions sortantes, les créations de comptes, les accès inhabituels à Active Directory et les commandes encodées. Un poste réinstallé trop vite peut faire perdre des preuves utiles ; un poste laissé en ligne trop longtemps peut servir de passerelle.
Cadrer ce type de risque en amont évite la plupart des mauvaises surprises : cartographie des postes, droits utilisateurs, supervision, procédures d’incident. C’est souvent là qu’un regard extérieur fait gagner du temps, parce qu’il relie le site web, l’hébergement, les postes et les usages métier au lieu de les traiter en silos.
FAQ sur TerminalFix et les faux CAPTCHA Cloudflare
TerminalFix cible-t-il seulement les grandes entreprises ?
Non. Microsoft parle d’organisations de plusieurs secteurs, et les campagnes ClickFix utilisent souvent des sites compromis accessibles à tous. Une PME est exposée dès qu’un collaborateur navigue sur le web depuis un poste connecté aux outils internes.
Un vrai CAPTCHA Cloudflare peut-il demander une commande PowerShell ?
Non. Un contrôle Cloudflare Turnstile ou Google CAPTCHA peut demander de cocher une case, résoudre une vérification ou attendre une validation automatique, mais pas d’ouvrir Terminal, PowerShell ou Exécuter.
Faut-il bloquer totalement PowerShell en entreprise ?
Pas toujours. PowerShell sert aussi à l’administration légitime ; mieux vaut d’abord journaliser les usages, retirer les droits admin inutiles, puis restreindre les commandes et scripts à risque avec AppLocker, WDAC ou Constrained Language Mode.
Que faire si l’EDR détecte powershell.exe -w hidden -nop -c ?
Traitez l’alerte comme prioritaire, surtout si PowerShell a été lancé depuis un navigateur ou suivi d’un téléchargement. Isolez le poste, collectez les journaux et vérifiez les tâches planifiées, clés Run, connexions sortantes et identifiants exposés.