ClickFix dissimule des charges utiles via le cache du navigateur pour contourner les limites de Windows Run

Microsoft Threat Intelligence a décrit une nouvelle variante de ClickFix qui utilise des sites compromis pour inciter les utilisateurs à exécuter une charge utile préchargée dans le cache du navigateur sous forme de fichier PNG, contournant ainsi la limite d'environ 260 caractères du Windows Run. La chaîne observée déploie un script VBScript qui énumère les fichiers du profil navigateur, copie une entrée de cache correspondant à une taille attendue vers %LOCALAPPDATA%\Temp\t.vbs, puis l'exécute via wscript.exe pour récupérer un script PowerShell et une charge utile finale ciblant les identifiants. L'article rappelle que des attaques similaires ont été documentées en octobre 2025 et que des campagnes récentes ont impliqué des groupes liés à la Corée du Nord et à la Russie, avec une hausse de 563 % des incidents impliquant de faux CAPTCHA en 2025 selon CrowdStrike.