Fausses mises à jour de navigateur et faux captchas : les malwares qui ciblent les utilisateurs de crypto
Comment les malwares de faux captcha et les fausses mises à jour de navigateur volent des cryptos : l’astuce de la commande à coller, les signaux d’alerte, les mesures de protection et que faire si vous l’avez exécutée.
Les attaques par faux captcha et fausse mise à jour de navigateur vous poussent à installer vous-même un malware : un site affiche une case convaincante « confirmez que vous êtes humain » ou un avertissement « mettez à jour votre navigateur », puis vous demande de télécharger un fichier ou de coller une commande sur votre ordinateur, ce qui installe un logiciel qui vole les données de portefeuilles crypto, les mots de passe et les sessions du navigateur. Un vrai captcha ou une vraie mise à jour de navigateur ne vous demande jamais d’ouvrir une fenêtre de commande ni d’exécuter un fichier téléchargé depuis un site quelconque.
Les utilisateurs de crypto sont des cibles de choix, car un seul ordinateur infecté peut exposer des fichiers de hot wallets, des phrases de récupération enregistrées dans des notes, des sessions sur des plateformes d’échange et des gestionnaires de mots de passe. Ce guide explique comment fonctionnent ces attaques, quels sont les signaux d’alerte et que faire si vous pensez en avoir exécuté une.
Comment fonctionne l’astuce du faux captcha
Cette technique, souvent appelée « ClickFix » par les chercheurs en sécurité, fait de la victime l’installateur.
- 1Vous arrivez sur une page : peut-être un blog piraté, une fausse visionneuse de documents, un site de logiciels piratés ou un lien envoyé dans le chat d’une communauté crypto.
- 2Une vérification d’apparence familière s’affiche, au style d’un service de captcha bien connu, indiquant que vous devez confirmer que vous êtes humain.
- 3Lorsque vous cliquez sur la case, la page copie discrètement une commande malveillante dans votre presse-papiers.
- 4De nouvelles instructions apparaissent : sous Windows, « appuyez sur Windows + R, puis Ctrl + V, puis Entrée » ; sur Mac, une variante peut vous demander d’ouvrir le Terminal et de coller.
- 5Vous exécutez la commande sans la voir en entier. Elle télécharge et lance un malware en arrière-plan.
- 6La page peut afficher « vérification terminée » et vous laisser continuer, si bien que rien ne semble anormal.
L’astuce fonctionne parce qu’elle contourne de nombreuses protections du navigateur : c’est vous, et non le site web, qui exécutez le programme.
Comment fonctionnent les attaques par fausse mise à jour de navigateur
L’ancêtre des faux captchas est la fausse bannière de mise à jour :
- Un site compromis ou malveillant superpose un message plein écran affirmant que votre navigateur est obsolète ou qu’une page ne peut pas s’afficher sans mise à jour.
- La page imite l’identité visuelle de votre navigateur et propose un bouton de téléchargement.
- Le fichier est un malware, souvent déguisé en programme d’installation ou en fichier compressé contenant un script.
Les vrais navigateurs se mettent à jour automatiquement ou via les mises à jour du système. Vous n’avez jamais besoin de télécharger une mise à jour de navigateur depuis un site que vous visitiez par hasard.
Ce que vole le malware
La plupart de ces campagnes diffusent des voleurs d’informations (infostealers) : des malwares qui collectent rapidement des données de valeur et les envoient à l’attaquant. Pour les utilisateurs de crypto, cela peut inclure :
| Données volées | Pourquoi c’est important |
|---|---|
| Données des extensions de portefeuille du navigateur | Les coffres chiffrés peuvent être cassés hors ligne si le mot de passe est faible ou enregistré |
| Mots de passe enregistrés et saisie automatique | Identifiants de plateformes d’échange, comptes e-mail et mots de passe de portefeuilles |
| Cookies de session | Les attaquants peuvent parfois détourner des sessions connectées sans avoir besoin du mot de passe ni du code 2FA |
| Fichiers et notes | Captures d’écran ou fichiers texte contenant des phrases de récupération |
| Presse-papiers | Certains malwares remplacent les adresses copiées ; voir malware du presse-papiers |
Comme les voleurs agissent en quelques secondes, les pertes peuvent survenir avant que vous ne remarquiez quoi que ce soit d’inhabituel.
Un exemple hypothétique
Ce qui suit est une illustration composite, pas un cas réel.
Imaginez Alex, qui cherche un outil de graphiques gratuit et ouvre un site de téléchargement. Une case de captcha apparaît. Après avoir cliqué dessus, Alex est invité à appuyer sur Windows + R et à coller pour « terminer la vérification ». Cela lui paraît étrange, mais le site a l’air professionnel. Quelques heures plus tard, le portefeuille de navigateur d’Alex est vidé et un compte sur une plateforme d’échange affiche une tentative de retrait. Le voleur avait copié les données chiffrées du portefeuille, les mots de passe enregistrés et les cookies de session dans les minutes qui ont suivi son exécution.
Liste des signaux d’alerte
- Un « captcha » vous demande d’utiliser des raccourcis clavier, d’ouvrir Exécuter, le Terminal ou PowerShell, ou de coller quoi que ce soit.
- Un site web, et non votre navigateur, affirme que vous devez télécharger une mise à jour.
- Un téléchargement arrive sous forme de script, de raccourci ou de type de fichier inhabituel au lieu d’un programme d’installation normal provenant de l’éditeur officiel.
- La page est apparue après une redirection depuis un site inattendu ou depuis une annonce de recherche.
- Un lien dans une conversation Discord, Telegram ou X mène à une étape de « vérification ».
- Votre navigateur ou votre antivirus signale le fichier et la page vous dit d’ignorer l’avertissement.
Comment vous protéger
- 1Ne collez jamais de commandes que vous ne comprenez pas, surtout si elles viennent d’une page web.
- 2Mettez à jour vos logiciels uniquement depuis des sources officielles : le menu des paramètres du navigateur, l’outil de mise à jour du système d’exploitation ou le site officiel de l’éditeur.
- 3Gardez vos phrases de récupération hors ligne. Ne les stockez jamais dans des applications de notes, des captures d’écran ou des documents dans le cloud. Voir comment sauvegarder correctement une phrase de récupération.
- 4Utilisez un portefeuille matériel pour les montants importants, afin que vos clés privées ne soient jamais sur votre ordinateur.
- 5Utilisez un gestionnaire de mots de passe avec un mot de passe maître robuste, et activez la 2FA par application ou par clé matérielle sur les plateformes d’échange et votre messagerie.
- 6Séparez vos activités : envisagez un appareil ou un profil de navigateur dédié à la crypto, que vous n’utilisez pas pour télécharger ou naviguer sur des sites quelconques.
- 7Méfiez-vous des annonces de recherche pour des logiciels et des outils crypto ; notre guide sur le phishing via les annonces de recherche explique pourquoi.
Que faire si vous l’avez exécuté
- 1Déconnectez l’appareil infecté d’internet.
- 2Depuis un appareil sain, créez un nouveau portefeuille avec une nouvelle phrase de récupération et transférez les fonds de tout portefeuille qui se trouvait sur l’ordinateur infecté. Suivez que faire immédiatement si votre portefeuille est compromis.
- 3Changez les mots de passe de votre messagerie, de vos plateformes d’échange et de votre gestionnaire de mots de passe, en commençant par la messagerie, et déconnectez toutes les sessions actives.
- 4Révoquez les autorisations de tokens de tout portefeuille concerné que vous continuez à utiliser.
- 5Effacez et réinstallez l’ordinateur infecté, ou confiez-le à un professionnel ; supprimer manuellement un voleur d’informations n’est pas fiable.
- 6Signalez le site malveillant à l’outil de signalement de navigation sécurisée de votre navigateur et à nous via notre formulaire de signalement.
En résumé
Les faux captchas et les fausses mises à jour fonctionnent parce qu’ils vous font exécuter le malware vous-même. Aucune vraie vérification ne vous demande de coller une commande, et aucun vrai navigateur n’a besoin d’un téléchargement depuis une page quelconque. Gardez vos clés à l’écart des ordinateurs du quotidien, ne faites de mises à jour que depuis des sources officielles et, si vous vous êtes fait piéger, agissez vite depuis un appareil sain.
Questions fréquentes
Qu’est-ce qu’une attaque par faux captcha ?
Une attaque par faux captcha affiche une page qui ressemble à une vérification classique « confirmez que vous êtes humain », mais au lieu de cliquer sur des images, elle vous demande d’appuyer sur des raccourcis clavier qui ouvrent une fenêtre de commande et d’y coller une commande cachée. Cette commande télécharge un malware, souvent un voleur d’informations qui cible les portefeuilles crypto, les mots de passe et les données du navigateur.
Un vrai captcha me demanderait-il un jour d’exécuter une commande ?
Non. Les captchas légitimes vous demandent de cocher une case, de cliquer sur des images ou de résoudre un puzzle dans le navigateur. Ils ne vous demandent jamais d’ouvrir la boîte de dialogue Exécuter, le Terminal ou PowerShell, ni de coller quoi que ce soit. Toute instruction de ce type est une attaque et vous devez fermer la page.
Les navigateurs ont-ils vraiment besoin de mises à jour manuelles depuis des sites web ?
Les navigateurs modernes comme Chrome, Firefox, Edge et Safari se mettent à jour eux-mêmes ou via le système de mise à jour de votre système d’exploitation. Un site web qui vous demande de télécharger un fichier de mise à jour du navigateur est presque toujours malveillant. Recherchez les mises à jour uniquement depuis le menu des paramètres du navigateur lui-même.
J’ai exécuté la commande. Mes cryptos sont-elles en sécurité ?
Partez du principe que non. Déconnectez l’ordinateur, utilisez un autre appareil sain pour transférer les fonds de tout hot wallet dont les clés ou la phrase se trouvaient sur cet ordinateur vers un nouveau portefeuille, changez vos mots de passe importants depuis l’appareil sain et révoquez les sessions actives. Faites ensuite effacer et réinstaller l’ordinateur infecté.