Un nouveau malware visant les utilisateurs de Mac repose sur une mécanique simple : faire exécuter une commande par la victime, puis la pousser à entrer son mot de passe. D’après les chercheurs de Group-IB, cette campagne baptisée ClickLock n’exploite ni faille de sécurité ni élévation de privilèges, mais une suite d’écrans trompeurs conçus pour paraître légitimes.
Le nom ClickLock combine la technique d’infection initiale, inspirée des scénarios dits ClickFix, et le blocage imposé ensuite à l’utilisateur. Group-IB indique avoir repéré une première trace du malware le 9 juin 2026, via un script shell déposé sur VirusTotal. À ce moment-là, aucun antivirus listé sur la plateforme ne le signalait comme malveillant.
Une fausse vérification web qui mène au Terminal
Le point de départ est une page web frauduleuse imitant par exemple une vérification Cloudflare. La victime est invitée à copier puis coller une commande dans le Terminal de macOS. Une fois lancée, cette commande affiche une fausse barre de progression pendant que plusieurs composants sont récupérés en arrière-plan, selon l’analyse de Group-IB.
Le malware affiche ensuite une demande de mot de passe macOS contrefaite, avec un détail particulièrement crédible : le vrai nom d’utilisateur de la machine y apparaît. Si la victime refuse ou ferme la fenêtre, ClickLock installe alors deux agents système pour rester actif sur le Mac.
Le Mac devient presque inutilisable jusqu’à la saisie du mot de passe
Au redémarrage ou à la prochaine ouverture de session, ClickLock ferme en boucle les apps visibles, dont Finder, les navigateurs web, Terminal et le Moniteur d’activité, rapporte Group-IB. L’idée est de ne laisser pratiquement qu’une seule issue à l’écran : la demande de mot de passe. Le script analysé permettrait de maintenir cette pression pendant jusqu’à 83 heures.
Un second mécanisme, actif pendant près de 35 jours selon Group-IB, cherche aussi à obtenir l’autorisation d’accès au Trousseau macOS afin de récupérer la clé de chiffrement utilisée par Chrome. Une fois les accès obtenus, un module collecte les identifiants enregistrés dans huit navigateurs, des extensions de portefeuilles crypto, des apps de portefeuilles de bureau, des adresses blockchain, des historiques de shell et des identifiants FTP.
Toujours selon Group-IB, les données volées sont compressées puis envoyées vers un bot Telegram contrôlé par les attaquants. Les chercheurs disent aussi avoir observé l’installation d’une porte dérobée finale, masquée sous l’apparence d’un processus lié à iCloud, afin de conserver un accès distant à la machine.
Ce que ça change
Le point clé, ici, est que l’attaque contourne les réflexes de sécurité classiques : elle ne « casse » pas macOS, elle pousse l’utilisateur à coopérer. En pratique, un site qui demande de lancer une commande Terminal pour vérifier une session ou débloquer un accès doit être considéré comme suspect.
Group-IB fait état d’une centaine de victimes dans 33 pays depuis le mois de mai, avec plus de la moitié des cas situés en Europe. Comme la campagne semble encore évoluer, le principal signal d’alerte reste ce type de fausse vérification web suivie d’une demande insistante de mot de passe.
À lire aussi
- macOS 27 bêta 3 : Utilitaire AirPort disparaît aussi après une mise à niveau chez certains
- XQuartz 2.8.6 sur Mac corrige la sécurité et avance sur Apple Silicon
- Apple visée par une class action aux États-Unis après la faille de « Masquer mon adresse e-mail »
Source : Group-IB — article de recherche « ClickLock stealer macOS malware »
