Les protections de macOS compliquent généralement la vie des créateurs de logiciels malveillants. ClickLock Stealer ne cherche pourtant pas à contourner Gatekeeper, l’intégrité du système ou les règles d’autorisation d’Apple. Il demande simplement à l’utilisateur de copier une commande depuis une page web, de la coller dans le Terminal et de l’exécuter.
Cloudflare n’a rien demandé
Découvert par Group-IB, ce malware serait actif depuis le mois de mai. L’entreprise de cybersécurité a identifié au moins 100 victimes dans 33 pays, dont plus de la moitié en Europe. Les chercheurs n’ont pas observé directement les pages qui diffusent ClickLock, mais le scénario correspond à la technique « ClickFix ». Une fausse vérification Cloudflare, un faux captcha ou une prétendue erreur de navigateur demande à l’internaute d’ouvrir le Terminal et d’y coller une commande pour prouver qu’il n’est pas un robot.
Une fois lancée, celle-ci affiche une barre de progression imitant Cloudflare, avec des messages rassurants sur la vérification du navigateur. En arrière-plan, plusieurs modules sont téléchargés depuis des sites WordPress compromis. Une fausse fenêtre macOS réclame ensuite le mot de passe du compte. Le malware vérifie qu’il est correct avant de l’envoyer aux attaquants via Telegram. En cas de refus, ClickLock passe à une méthode nettement moins courtoise.
Le logiciel installe des mécanismes lui permettant de revenir à la prochaine ouverture de session. Il ferme alors le Finder, les navigateurs, le Terminal, les Réglages Système ou encore le Moniteur d’activité toutes les 210 millisecondes. La fenêtre demandant le mot de passe reste, elle, parfaitement disponible. La machine devient donc pratiquement inutilisable jusqu’à ce que la victime saisisse ses identifiants.
Après avoir récupéré le mot de passe, ClickLock affiche cette fois une véritable fenêtre de macOS. Elle demande l’autorisation d’accéder à la clé « Chrome Safe Storage », qui protège les mots de passe et cookies enregistrés par les navigateurs basés sur Chromium.
Le malware peut alors fouiller les données de huit navigateurs, du trousseau macOS et des principaux gestionnaires de mots de passe. Il récupère également l’historique du Terminal et certains identifiants FTP. Les utilisateurs de cryptomonnaies sont particulièrement visés. Group-IB a repéré des mécanismes destinés à extraire les données de 31 extensions de portefeuilles et de huit applications de bureau, parmi lesquelles MetaMask, Phantom, Coinbase Wallet, Exodus et Electrum.
Apple a commencé à répondre à ce type d’attaque dans macOS Tahoe 26.4. Le système affiche désormais un avertissement lorsqu’une commande provenant d’un site ou d’un message est collée dans le Terminal, et peut bloquer entièrement l’opération lorsqu’un malware connu est détecté.
🟣 Pour ne manquer aucune news sur le Journal du Geek, suivez-nous sur Google et sur notre canal WhatsApp. Et si vous nous adorez, on a une newsletter tous les matins.
