De faux articles de dépannage macOS installent des voleurs de portefeuilles crypto
- Les attaquants publient de faux guides de dépannage macOS pour inciter les utilisateurs à exécuter des commandes Terminal malveillantes qui volent leurs cryptomonnaies.
- Cette campagne est active depuis la fin 2025 et contourne Gatekeeper car ce sont les victimes elles-mêmes qui exécutent les commandes malveillantes.
- Apple a ajouté une protection dans macOS 26.4 qui empêche le collage de commandes signalées comme potentiellement malveillantes dans Terminal.
Des attaquants publient de faux guides de dépannage macOS sur Medium, Craft et Squarespace. L'objectif est d'amener les utilisateurs à exécuter des commandes Terminal qui installent des logiciels malveillants ciblant les données iCloud, les mots de passe enregistrés et les portefeuilles crypto.
L'équipe de recherche en sécurité de Microsoft Defender a publié ces résultats. La campagne est en cours depuis la fin de 2025. Elle s'en prend aux utilisateurs de Mac qui recherchent de l'aide pour des problèmes courants tels que la libération d'espace disque ou la correction d'erreurs système.
Au lieu d'offrir une solution légitime, les pages demandent aux utilisateurs de copier une commande et de la coller dans le Terminal. Cette commande télécharge et exécute un logiciel malveillant.
Les articles de blog trompeurs demandent aux lecteurs de copier une commande malveillante et de la coller dans le Terminal. Cette commande télécharge un logiciel malveillant et l'exécute sur l'ordinateur de la victime.
La technique s'appelle ClickFix. C'est de l'ingénierie sociale qui transfère la responsabilité du lancement de la charge utile à la victime. Comme l'utilisateur exécute la commande directement dans le Terminal, le gardien de macOS (Gatekeeper) n'inspecte jamais la charge utile.
Gatekeeper vérifie normalement la signature de code et la notarisation des bundles d'applications ouverts via le Finder, mais cette méthode le contourne entièrement.
Les attaquants ont lancé trois campagnes avec le même objectif
Microsoft a repéré trois installateurs de campagnes :
- Un chargeur.
- Un script.
- Un assistant.
Tous trois collectent des données sensibles, établissent une persistance et exfiltrent les informations volées vers les serveurs des attaquants.
Les familles de logiciels malveillants incluent AMOS, Macsync et SHub Stealer. Si l'un des trois logiciels malveillants est installé, il cible les données des comptes iCloud et Telegram. Ensuite, il recherche les documents privés et les photos de moins de 2 Mo. Il extrait également les clés des portefeuilles crypto d'Exodus, Ledger et Trezor, et vole les noms d'utilisateur et mots de passe enregistrés dans Chrome et Firefox.
Après l'installation, le malware affiche une fausse boîte de dialogue et demande le mot de passe du système pour installer un « outil d'aide ». Si l'utilisateur saisit le mot de passe, l'attaquant obtient un accès complet aux fichiers et aux paramètres du système.
Dans certains cas, les chercheurs ont constaté que les attaquants supprimaient les applications légitimes de portefeuilles crypto et les remplaçaient par des versions trojanisées conçues pour surveiller les transactions et voler les fonds.
Trezor Suite, Ledger Wallet et Exodus figuraient parmi les principales applications ciblées dans cette attaque.
La campagne du chargeur comprend également un interrupteur d'arrêt (kill switch). Le logiciel malveillant cesse de s'exécuter s'il détecte une disposition de clavier russe.
Des chercheurs en sécurité ont observé des attaquants utilisant curl, osascript et d'autres utilitaires natifs de macOS pour exécuter des charges utiles directement en mémoire. Il s'agit d'une approche sans fichier qui rend la détection plus difficile pour les outils antivirus standards.
Les attaquants ciblent les développeurs de crypto
Des chercheurs en sécurité d'ANY[.]RUN ont découvert une opération du groupe Lazarus appelée « Mach-O Man ». Les pirates ont utilisé la même technique ClickFix via de fausses invitations à des réunions. Ils visaient les machines fintech et crypto où macOS est courant.
Cryptopolitan a publié des informations sur la campagne PromptMink.
Un package npm malveillant a été introduit dans un projet de trading crypto par le groupe nord-coréen Famous Chollima via une modification générée par l'IA. En utilisant une approche de package à deux couches, le logiciel malveillant a obtenu l'accès aux données du portefeuille et aux secrets du système.
Les deux campagnes montrent que les données des portefeuilles crypto ont de la valeur. Les attaquants adaptent leurs méthodes de livraison, passant des faux articles de blog aux compromissions de chaîne d'approvisionnement assistées par l'IA, pour y accéder.
Si vous lisez ceci, vous êtes déjà en avance. Restez ainsi grâce à notre newsletter.
FAQ
Qu'est-ce que ClickFix et comment fonctionne-t-il sur macOS ?
ClickFix est une attaque d'ingénierie sociale qui trompe les utilisateurs pour qu'ils copient-collent une commande dans Terminal, téléchargeant et exécutant ainsi un malware.
Quels portefeuilles cryptographiques sont ciblés par cette campagne de malware ?
Exodus, Ledger et Trezor sont les cibles principales. Dans certains cas, les attaquants ont désinstallé de vrais portefeuilles et les ont remplacés par des applications trojanisées.
Apple a-t-elle publié une correction pour l'attaque ClickFix Terminal ?
Apple a ajouté une protection dans macOS 26.4 qui empêche le collage de commandes signalées comme potentiellement malveillantes dans Terminal. Un avertissement s'affiche alors : « Possible malware, Paste blocked. »
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Randa Moses
Randa Moses est rédactrice et journaliste chez Cryptopolitan, couvrant la technologie, l'IA, la robotique, la crypto, les arnaques et les piratages. Elle évolue dans l'espace crypto depuis 2017. Elle a occupé des postes chez Forward Protocol, AmaZix et Cryptosomniac. Randa détient un diplôme en génie électrique et électronique de l'Université de Bradford.
