ClickFix sur macOS: une commande collée vide le portefeuille crypto par petits bouts
Une campagne ClickFix visant macOS, analysée par Huntress, se termine par une victime qui colle elle-même une seule commande dans Terminal et livre son trousseau, ses mots de passe de navigateur et, potentiellement, une part de sa cryptomonnaie. Les chercheurs ont publié leurs conclusions le 6 août 2026, après qu'une chasse aux menaces rétrospective menée en juin eut mis au jour un voleur écrit en Go, installé depuis mars sur un Mac supervisé, soit près de quatre-vingt-dix jours sans être repéré.
Comment fonctionne l'attaque ClickFix sur macOS
L'appât suit le schéma ClickFix désormais familier: un courriel contenant un lien, une page affichant un faux CAPTCHA ou une fausse erreur, et une consigne invitant le visiteur à "se vérifier" en exécutant une commande dans Terminal. Rien n'est exploité sur le chemin d'entrée. L'exploit, c'est l'utilisateur, et la commande collée fait le reste.
Cette commande récupérait un script Bash sur une adresse contrôlée par les attaquants, l'exécutait, le supprimait, puis effaçait la fenêtre Terminal et l'historique des commandes pour ne rien laisser d'évident derrière elle. Le script servait de profileur et de chargeur: il interrogeait le matériel avec des outils que tout administrateur Mac reconnaîtrait, vérifiait l'architecture du processeur et téléchargeait l'une des deux charges Mach-O compilées en Go, l'une pour Apple Silicon, l'autre pour Intel.
Ce que le voleur emporte
Une fois lancée, la charge utile ratissait le disque à la recherche des fichiers connus pour contenir des identifiants. Selon Huntress, le butin comprend les bases de mots de passe des navigateurs, les identifiants mis en cache dans les cookies et les données du trousseau Apple, qui reste sur un Mac ordinaire la cible la plus riche de la machine. Tout ce qui était collecté partait vers une adresse externe.
Pour atteindre les parties du système qu'un processus utilisateur normal ne peut pas toucher, le logiciel malveillant utilisait osascript afin d'afficher ce qui ressemble à une demande de mot de passe macOS ordinaire, présentée comme une réparation de fichiers système endommagés. C'est une boîte de dialogue que le système lui-même aurait pu afficher, et saisir son mot de passe est précisément ce qui achève la compromission.
La fonction DRAIN et pourquoi le vol partiel est inédit
Ce qui distingue cet échantillon, c'est une routine que ses auteurs ont baptisée DRAIN. Elle recherche des portefeuilles Bitcoin, Litecoin, Dogecoin, Monero, Ethereum et XRP, et embarque une liste codée en dur d'adresses contrôlées par les attaquants.
Les videurs de portefeuilles vident normalement un compte d'un seul geste, parce que l'opérateur suppose n'avoir qu'une seule chance avant que la victime ne s'en aperçoive. Celui-ci dispose d'une variable DRAIN_PCT et d'une logique propre à chaque monnaie pour calculer ce que vaut un pourcentage donné du solde, afin de prélever une part plutôt que la totalité. Huntress indique qu'il s'agit du premier videur analysé capable de laisser délibérément la monnaie à la victime. Un portefeuille qui perd discrètement un pour cent ressemble à des frais, à une erreur d'arrondi ou à un souvenir approximatif, et un vol que personne ne signale est un vol que l'on peut recommencer.
Persistance et infrastructure
Le programme se maintenait en place en se dissimulant sous un chemin imitant les composants de mise à jour logicielle d'Apple à l'intérieur du dossier Library de l'utilisateur, et en s'enregistrant auprès du sous-système Background Task Management via launchctl. C'est un emplacement que presque personne n'inspecte et un nom que presque personne ne remet en question.
L'hôte du chargeur, le serveur de charge utile et le point de commande et contrôle renvoyaient tous à l'infrastructure d'Aeza Group, un hébergeur pare-balles russe. Aeza a été sanctionné par les États-Unis en juillet 2025, puis par le Royaume-Uni et l'Australie en novembre 2025, pour son rôle dans l'hébergement de rançongiciels, de voleurs d'informations et d'autres opérations criminelles. Malgré ces sanctions, la même infrastructure servait encore cette campagne.
Comment se protéger
- Traitez toute consigne Terminal comme hostile: le seul réflexe qui neutralise toute cette famille d'attaques est de refuser de coller des commandes que vous n'avez pas écrites et que vous ne comprenez pas.
- Méfiez-vous des demandes de mot de passe inattendues: une fenêtre qui réclame soudain le mot de passe de votre Mac pour "réparer des fichiers système" est un signal d'alarme, et annuler ne coûte rien.
- Gardez vos avoirs sérieux hors de la machine du quotidien: un portefeuille matériel tient les clés de signature à l'écart de tout logiciel qui parviendrait à s'exécuter sur votre Mac.
- Rapprochez les soldes, pas seulement les gros titres: la ponction partielle est conçue pour se fondre dans le bruit, donc de petites sorties inexpliquées méritent la même attention qu'un portefeuille vidé.
- Filtrez au niveau DNS: la page d'appât doit d'abord se charger, et la bloquer coûte moins cher que de nettoyer ensuite.
Le presse-papiers et le navigateur sont devenus discrètement la partie la plus tendre de la chaîne crypto, et ce n'est pas un cas isolé: un script publicitaire compromis a récemment été pris à réécrire des adresses de portefeuilles sur des milliers de sites légitimes, et les identifiants moissonnés par des voleurs de ce type finissent dans les mêmes compilations que celles à l'origine des 24 milliards de mots de passe exposés dans une seule base ouverte. Comme la première étape de la chaîne est toujours une page qui doit se charger, le filtrage au niveau du réseau compte plus qu'avant, et c'est pourquoi de nombreux outils de confidentialité intègrent désormais des listes de blocage DNS qui arrêtent l'appât avant même que l'utilisateur ne voie le faux CAPTCHA.
