Un malware inédit pour macOS, baptisé ClickLock, utilise une méthode simple mais redoutable : pousser l’utilisateur à exécuter lui-même une commande dans le Terminal, puis le harceler avec une fausse demande de mot de passe jusqu’à obtenir ses accès. D’après Group-IB, l’attaque ne repose ni sur une faille de sécurité ni sur une élévation de privilèges, ce qui la rend particulièrement trompeuse pour les utilisateurs qui pensent suivre une vérification légitime.
Une fausse vérification web qui mène au Terminal
Selon Group-IB, la première trace de ClickLock remonte au 9 juin 2026, avec un script shell déposé sur VirusTotal. Aucun des antivirus référencés par la plateforme ne l’identifiait alors comme malveillant. Le nom ClickLock fait référence à la technique ClickFix utilisée comme porte d’entrée, ainsi qu’au “verrouillage” imposé ensuite à la victime.
Le scénario commence sur une fausse page web imitant, par exemple, une vérification Cloudflare. L’utilisateur est invité à coller une commande dans le Terminal de son Mac. Une fois la commande lancée, une barre de progression factice s’affiche pendant que plusieurs modules se téléchargent en arrière-plan.
Le malware affiche ensuite une fausse fenêtre de mot de passe macOS, crédible jusque dans la reprise du vrai identifiant de l’utilisateur. Si la personne annule cette demande, ClickLock met en place deux agents système pour persister sur la machine.
Un verrouillage de l’écran pour forcer la main
D’après les chercheurs de Group-IB, au redémarrage ou à la prochaine connexion, ClickLock ferme en boucle les applications visibles, dont Finder, les navigateurs, Terminal et le Moniteur d’activité. L’objectif est clair : ne laisser à l’écran que la demande de mot de passe. Cette pression peut durer jusqu’à 83 heures selon l’analyse du script malveillant.
Un deuxième mécanisme, actif pendant près de 35 jours, tente aussi d’imposer l’autorisation d’accès au Trousseau macOS afin de récupérer la clé de chiffrement de Chrome. Une fois les accès obtenus, un module collecte les identifiants de huit navigateurs, des extensions de portefeuilles crypto, des applications de portefeuilles de bureau, des adresses blockchain, des historiques de shell et des identifiants FTP.
Toujours selon Group-IB, les données sont ensuite compressées puis envoyées vers un bot Telegram contrôlé par les attaquants. Les chercheurs ont également observé l’installation d’une porte dérobée en fin d’infection, déguisée en processus lié à iCloud, pour conserver un accès distant permanent.
Ce que ça change
Le point le plus préoccupant ici, c’est que l’attaque contourne les réflexes habituels : elle ne casse pas macOS, elle manipule l’utilisateur. Concrètement, si un site vous demande de copier-coller une commande dans le Terminal pour “vérifier” votre session ou débloquer un accès, il faut considérer cela comme un signal d’alerte majeur.
Group-IB indique qu’une centaine de victimes ont été recensées dans 33 pays depuis le mois de mai, avec plus de la moitié des cas en Europe. La campagne semble encore en développement, ce qui signifie qu’il faut surtout surveiller ce type de faux écrans de vérification et éviter absolument d’exécuter des commandes suggérées par une page web.
À lire aussi
Source : Group-IB — article de recherche "ClickLock stealer macOS malware"
Rédigé avec l'assistance d'outils d'IA, vérifié et validé par la rédaction.