La campagne de malware ClickFix cible les utilisateurs Mac recherchant de l'aide

Les attaquants publient de faux guides de dépannage macOS sur Medium, Craft et Squarespace. L’objectif est de faire exécuter aux utilisateurs des commandes Terminal qui installent des logiciels malveillants ciblant les données iCloud, les mots de passe enregistrés et les portefeuilles cryptographiques.

L’équipe de recherche en sécurité de Microsoft Defender a publié ces découvertes. La campagne est en cours depuis la fin 2025. Elle cible les utilisateurs de Mac cherchant de l’aide pour des problèmes courants comme libérer de l’espace disque ou réparer des erreurs système.

Au lieu d’offrir une solution légitime, les pages demandent aux utilisateurs de copier une commande et de la coller dans Terminal. Cette commande télécharge et exécute un logiciel malveillant.

Les articles de blog trompeurs indiquent aux lecteurs de copier une commande malveillante et de la coller dans Terminal. Cette commande télécharge un malware et l’exécute sur l’ordinateur de la victime.

La technique s’appelle ClickFix. C’est une ingénierie sociale qui transfère la responsabilité du lancement du payload à la victime. Parce que l’utilisateur exécute la commande directement dans Terminal, Gatekeeper de macOS ne vérifie jamais le contenu malveillant.

Gatekeeper vérifie normalement la signature de code et la notarisation des bundles d’applications ouverts via Finder, mais cette méthode l’évite complètement.

Les attaquants ont lancé trois campagnes avec le même objectif

Microsoft a repéré trois installateurs de campagne :

Un chargeur.

Un script.

Un assistant.

Les trois récoltent des données sensibles, établissent une persistance, et exfiltrent les informations volées vers les serveurs de l’attaquant.

Les familles de malwares incluent AMOS, Macsync, et SHub Stealer. Si l’un des trois malwares est installé, il cible les données de comptes iCloud et Telegram. Ensuite, il recherche des documents privés et des photos de moins de 2 Mo. Et il extrait les clés de portefeuilles crypto d’Exodus, Ledger, et Trezor, ainsi que les identifiants et mots de passe enregistrés dans Chrome et Firefox.

Après l’installation, le malware affiche une fausse boîte de dialogue demandant le mot de passe système pour installer un « outil d’assistance ». Si l’utilisateur entre le mot de passe, l’attaquant obtient un accès complet aux fichiers et aux paramètres du système.

Dans certains cas, les chercheurs ont trouvé que les attaquants avaient supprimé de véritables applications de portefeuilles crypto et les avaient remplacées par des versions trojanisées conçues pour surveiller les transactions et voler des fonds.

Trezor Suite, Ledger Wallet, et Exodus étaient parmi les principales applications ciblées dans cette attaque.

La campagne du chargeur inclut également un kill switch. Le malware s’arrête s’il détecte une disposition de clavier russe.

Les chercheurs en sécurité ont observé des attaquants utilisant curl, osascript, et d’autres utilitaires natifs de macOS pour exécuter directement des payloads en mémoire. C’est une approche sans fichier qui complique la détection par les outils antivirus classiques.

Les attaquants ciblent les développeurs de crypto

Des chercheurs en sécurité d’ANY[.]RUN ont découvert une opération du groupe Lazarus appelée « Mach-O Man ». Les hackers ont utilisé la même technique ClickFix via de fausses invitations à des réunions. Ils ont visé des machines fintech et crypto où macOS est courant.

Cryptopolitan a publié un article sur la campagne PromptMink.

Un paquet npm malveillant a été intégré à un projet de trading crypto par le groupe nord-coréen Famous Chollima via une modification générée par IA. En utilisant une approche à deux couches pour le paquet, le malware a obtenu l’accès aux données de portefeuille et aux secrets du système.

Les deux campagnes montrent que les données de portefeuilles crypto sont précieuses. Les attaquants adaptent leurs méthodes de livraison, passant de faux articles de blog à des compromissions de chaîne d’approvisionnement assistées par IA pour y accéder.

Si vous lisez ceci, vous avez déjà une longueur d’avance. Restez-y avec notre newsletter.