Un nouveau malware baptisé ClickLock s’attaque aux utilisateurs de Mac avec une méthode qui ne repose pas sur une faille de macOS, mais sur la tromperie. D’après les chercheurs de Group-IB, l’attaque commence sur une fausse page web, parfois présentée comme une vérification de type Cloudflare, qui pousse l’utilisateur à copier-coller une commande dans Terminal.
Une fois la commande lancée, le Mac affiche une fausse barre de progression pendant que plusieurs composants sont récupérés en arrière-plan. Group-IB indique que la première trace de ClickLock remonte au 9 juin 2026, via un script shell déposé sur VirusTotal, alors qu’aucun antivirus listé par la plateforme ne le signalait comme malveillant à ce moment-là.
Une fausse demande de mot de passe qui insiste jusqu’à bloquer l’usage du Mac
Après l’exécution de la commande, ClickLock affiche une fenêtre de mot de passe imitant macOS, avec un détail particulièrement trompeur : le vrai nom d’utilisateur de la victime y est repris. Si la personne refuse, le malware installe, selon Group-IB, deux agents système pour rester actif sur la machine.
Le piège se referme ensuite au redémarrage ou à la prochaine ouverture de session. Les chercheurs expliquent que le programme ferme en boucle les apps visibles, notamment Finder, les navigateurs, Terminal et le Moniteur d’activité, afin de laisser à l’écran presque uniquement la demande de mot de passe. Cette pression peut durer jusqu’à 83 heures d’après l’analyse du script.
Un second mécanisme, actif pendant près de 35 jours, cherche aussi à obtenir l’autorisation d’accès au Trousseau macOS pour récupérer la clé de chiffrement de Chrome.
Ce que ClickLock cherche à voler
Une fois les accès obtenus, un module collecte des données sur huit navigateurs, mais aussi sur des extensions de portefeuilles crypto, des applications de portefeuilles installées en local, des adresses blockchain, des historiques de shell et des identifiants FTP, selon Group-IB. Les informations sont ensuite compressées puis envoyées vers un bot Telegram contrôlé par les attaquants.
Les chercheurs ont également observé l’installation d’une porte dérobée en fin d’infection, déguisée en processus lié à iCloud, afin de conserver un accès distant à la machine compromise.
Pourquoi c’est important
Le point marquant ici, c’est que l’attaque contourne les réflexes habituels : elle ne casse pas le système, elle pousse l’utilisateur à faire lui-même la première étape. En pratique, toute page web qui demande de lancer une commande dans Terminal pour “vérifier” une session ou débloquer un accès doit être considérée comme suspecte.
Group-IB recense environ 100 victimes dans 33 pays depuis le mois de mai, avec plus de la moitié des cas situés en Europe. La campagne semblant encore évoluer, le signal d’alerte le plus utile reste simple : ne jamais exécuter dans Terminal une commande fournie par un site web sans certitude absolue sur son origine.
À lire aussi
Source : Group-IB — article de recherche "ClickLock stealer macOS malware"