Une campagne vise les utilisateurs de Mac avec une copie piégée de Maccy, un gestionnaire de presse-papiers bien connu. D’après Jamf Threat Labs, le malware en question, baptisé PamStealer, a une particularité inquiétante : il ne se contente pas de demander le mot de passe du Mac, il s’assure d’abord qu’il est valide avant de l’envoyer à un serveur distant.
L’attaque commence par un faux site qui imite la page officielle de Maccy. Le téléchargement fourni n’installe pas une app Mac classique : l’image disque contient un fichier nommé Maccy.scpt. Au double-clic, macOS l’ouvre dans Script Editor, puis l’utilisateur est invité à utiliser le raccourci Commande-R pour « installer » l’application.
Une fausse installation pensée pour paraître crédible
Selon Jamf Threat Labs, cette manipulation lance un script caché conçu pour contourner les alertes habituelles liées aux téléchargements. Le développeur du vrai Maccy a d’ailleurs rappelé que maccy.app est l’unique source légitime pour récupérer l’application.
Les chercheurs expliquent aussi que la première phase reste discrète. Au lieu de s’appuyer sur des outils en ligne de commande souvent surveillés, le code utiliserait le framework de scripts d’Apple pour télécharger une seconde charge utile. Cette deuxième étape serait écrite en Rust, puis le programme se ferait passer pour Finder ou Mise à jour logicielle afin de mieux se fondre dans les processus de fond.
Le point clé : le mot de passe est testé avant l’exfiltration
Le comportement le plus notable décrit par Jamf concerne la fenêtre d’authentification. PamStealer afficherait un message imitant une demande système de macOS indiquant que Maccy veut effectuer des modifications. Si le mot de passe saisi est erroné, la fenêtre redemande simplement le bon.
D’après Jamf Threat Labs, cette vérification se fait localement via le système Pluggable Authentication Modules d’Apple. Une fois le bon mot de passe confirmé, un faux message indique que Maccy est endommagé, tandis que les identifiants sont transmis à distance. Autrement dit, une simple faute de frappe ne fait pas échouer l’attaque : le malware insiste jusqu’à obtenir un mot de passe utilisable.
Persistance, presse-papiers et demande tardive d’accès au disque
Jamf indique aussi que PamStealer peut s’installer dans la durée. Le malware surveillerait le presse-papiers, s’ajouterait aux éléments de connexion pour revenir après redémarrage et relèverait plusieurs informations sur la machine, comme la présence d’une puce Apple Silicon, la disposition du clavier ou le fuseau horaire.
Autre détail relevé par les chercheurs : la demande d’accès complet au disque peut attendre jusqu’à 40 minutes. L’objectif serait de couper mentalement le lien entre cette autorisation sensible et l’application douteuse ouverte plus tôt.
Ce que ça change
Cette campagne est plus crédible qu’un simple faux pop-up, car elle imite des étapes que beaucoup d’utilisateurs associent à macOS. Le signal d’alerte le plus clair reste la procédure d’installation : une app légitime ne demande pas d’utiliser Commande-R dans Script Editor pour s’installer.
Le réflexe utile est simple : télécharger uniquement depuis le site officiel du développeur, GitHub ou le Mac App Store quand c’est proposé. Dans le cas de Maccy, vérifier l’adresse maccy.app suffit déjà à éviter ce piège précis.
À lire aussi
- MacBook Neo : un script tente d’éliminer les saccades du curseur
- Pourquoi les Mac prennent l’avantage pour faire tourner l’IA en local
- macOS 27 écarte un composant clé du Lecteur DVD sur Mac
Source : Jamf Threat Labs
