Comment des sites ukrainiens servent de relais pour vous faire installer un logiciel espion
Des pirates ont pris le contrôle de sites d'entreprises ukrainiennes bien réelles pour y afficher des pièges Clickfix. Une menace qui pousse le visiteur à installer lui-même un logiciel espion qui vide ses navigateurs et ses portefeuilles de cryptomonnaies..
Entre le 9 et le 24 septembre 2026, des pirates ont infiltré des sites web légitimes d’entreprises ukrainiennes pour y installer des pièges. Parmi les victimes figurent une clinique capillaire, un concessionnaire automobile, une librairie, un cabinet de psychiatrie et un magasin d’outillage. Ces entreprises, toujours en activité, ont perdu le contrôle de leur site sans que la méthode exacte ne soit précisée. Les hackers y ont inséré une iframe, un cadre invisible qui charge du contenu externe tout en laissant l’utilisateur sur la page originale. L’objectif était d’afficher une fausse vérification Cloudflare, un service de protection des sites web, afin de tromper les visiteurs. Cette opération s’inscrit dans une campagne cybercriminelle toujours en cours.
Les pirates ont utilisé la technique ClickFix, une méthode d’attaque qui incite la victime à exécuter elle-même une commande malveillante. Lorsqu’un visiteur coche la case de vérification sur la fausse page Cloudflare, celle-ci copie discrètement une commande dans le presse-papiers de l’ordinateur. Une fenêtre s’ouvre alors, demandant à l’utilisateur d’appuyer sur les touches Windows+R, de coller le texte copié et de valider. Cette commande passe par Windows Installer, le programme qui gère l’installation des logiciels sur Windows. En suivant ces étapes, la victime télécharge involontairement un fichier malveillant nommé elita.msi, qui installe ensuite un logiciel espion.
Le logiciel espion Psychedelic Stealer, identifié par l’entreprise de cybersécurité Arctic Wolf, cible les navigateurs basés sur Chromium (comme Chrome, Edge ou Brave) ainsi que les portefeuilles de cryptomonnaies. Il récupère les mots de passe enregistrés dans les navigateurs, les jetons de compte et les données sensibles stockées dans des extensions comme MetaMask ou des applications comme Exodus. Une fois installé, le logiciel reste actif et se relance à chaque ouverture de session. Il interroge régulièrement un serveur contrôlé par les pirates pour recevoir de nouvelles instructions, ce qui permet aux hackers d’installer d’autres programmes malveillants ou de voler davantage de données. Selon le tableau de bord des pirates, 79 parcours ClickFix ont été menés à terme, bien que cela ne garantisse pas que la commande ait été exécutée par les victimes.
Bien que des commentaires en russe aient été trouvés dans le code de la fausse page de vérification, *Arctic Wolf* n’a pas attribué cette campagne à un groupe connu. La nature des données volées — identifiants, mots de passe et portefeuilles de cryptomonnaies — suggère une motivation financière claire. Les pirates cherchent à monétiser les informations récupérées, soit en les revendant sur des forums clandestins, soit en les utilisant pour des fraudes ou des extorsions. Cette opération illustre une tendance croissante des cybercriminels à exploiter des sites légitimes pour maximiser l’impact de leurs attaques tout en réduisant les risques d’être détectés.
