Les attaques ClickFix continuent d’évoluer : une nouvelle chaîne d’infection visant macOS a été observée, capable de voler des identifiants et des données de clés, tout en menant aussi un mécanisme de transfert progressif des fonds issus de portefeuilles de crypto-monnaies. Le tout démarre par un geste simple et trompeur, puis s’appuie sur des étapes d’exécution qui s’adaptent à l’ordinateur de la victime.
Selon des analyses de sécurité, le chargeur commence par une commande collée dans l’application Terminal, ce qui déclenche un profilage du système. Ensuite, l’attaque récupère un module malveillant au format compatible avec l’architecture du processeur. Une fois en place, ce logiciel collecte plusieurs types d’informations sensibles et les exfiltre vers un serveur distant contrôlé par les attaquants.
Une chaîne d’infection pensée pour macOS
Le scénario repose sur une logique en deux temps : d’abord, l’outil exécute un script qui collecte une grande quantité de détails sur l’hôte. Ensuite, il récupère une charge utile au format prévu pour macOS, sélectionnée pour correspondre à la configuration matérielle de la victime.
Cette approche rend l’attaque plus fiable : plutôt que d’envoyer une charge unique, l’enchaînement s’ajuste à l’environnement visé. Résultat, la probabilité de succès augmente, car le malware reçoit exactement la version qui convient à l’architecture du système.
Le vol de mots de passe et de données Keychain
Le composant malveillant identifié est un “stealer” développé en Go. Une fois exécuté, il peut capturer des mots de passe stockés dans le navigateur, ainsi que des données issues d’Apple Keychain (notamment des éléments associés à iCloud). L’attaque vise aussi des identifiants conservés en cache.
Pour les victimes, l’impact est double. D’un côté, les informations volées facilitent l’accès à des comptes en ligne (messagerie, réseaux sociaux, services cloud). De l’autre, les données de coffre et de session peuvent servir à contourner des mécanismes d’authentification classiques.
Exécution via Terminal : le piège “ClickFix”
La particularité des attaques ClickFix réside souvent dans leur capacité à faire exécuter à la victime elle-même la partie initiale de l’infection. Dans ce cas précis, l’utilisateur est amené à copier-coller une commande dans Terminal. Cette action déclenche alors un script Bash qui joue le rôle de “profiler/loader”.
À partir de ce point, l’attaque se met en ordre de marche : le script collecte les informations système nécessaires, puis télécharge la charge utile adaptée. On se retrouve donc avec une infection qui, au départ, ressemble à une opération légitime ou à une procédure de correction.
Escalade de privilèges et simulation d’erreur système
Comme d’autres voleurs ciblant macOS, le malware tente d’obtenir plus de droits en demandant à la victime de saisir les identifiants de son système. La demande s’appuie sur un faux message, présenté comme un “unexpected system error”, ce qui vise à réduire la suspicion.
En parallèle, le logiciel cherche à restaurer d’éventuels fichiers système endommagés, afin de limiter les signaux d’alerte côté utilisateur ou côté inspection. Ce mélange d’ingénierie sociale et d’automatisation rend le nettoyage plus complexe.
Le mécanisme “DRAIN” : transfert progressif de crypto
Le point le plus préoccupant concerne une fonction surnommée “DRAIN”. Au lieu de se limiter au vol immédiat, cette routine vérifie si un portefeuille de crypto-monnaie contient des fonds. Si c’est le cas, une partie (ou la totalité) des montants est redirigée vers un portefeuille contrôlé par l’attaquant.
La logique ne serait pas identique pour toutes les crypto-monnaies : l’analyse indique l’existence de versions distinctes de la fonction selon l’actif ciblé. Les devises mentionnées incluent Bitcoin, Litecoin, Dogecoin, Monero, Ethereum et Ripple (XRP).
Le rapport souligne aussi que, bien que l’idée d’un vidage ne soit pas totalement nouvelle dans l’écosystème des malwares, l’approche observée semble plus “granulaire” qu’auparavant. Elle viserait à déterminer précisément une valeur équivalente à un pourcentage du contenu du portefeuille, en fonction de la crypto ciblée.
Pourquoi “lentement” peut être plus dangereux
Transférer les fonds progressivement peut compliquer la détection. Les victimes remarquent parfois des retraits tardifs, surtout si les transactions paraissent “petites” ou si elles ne sont pas attendues immédiatement. En maintenant un rythme de ponction, l’attaquant augmente les chances que la victime n’intervienne pas, par exemple via des alertes, des mesures de sécurisation ou un arrêt rapide de l’accès.
Ce modèle peut aussi contribuer à la discrétion : le vol ne se résume pas à une exfiltration brutale, mais ressemble davantage à une série d’opérations étalées.
Infrastructure et recoupements avec d’autres campagnes ClickFix
Les serveurs impliqués dans la préparation des charges utiles, ainsi que le serveur de commande et contrôle (C2), seraient liés à une infrastructure associée à Aeza Group. Cette société de type “bulletproof hosting” a fait l’objet de sanctions de la part des autorités américaines, britanniques et australiennes pour son rôle présumé dans l’hébergement facilitant des activités malveillantes.
Cette découverte s’inscrit aussi dans une série plus large d’observations autour des attaques ClickFix ces dernières semaines. Plusieurs campagnes comparables ont déjà été rapportées, chacune avec ses propres techniques pour contourner la détection :
- MacSync et Atomic Stealer : utilisation de domaines ressemblants et d’un contrôle matériel/empreinte côté serveur pour ne servir les leurres qu’aux environnements jugés compatibles avec un navigateur macOS réel, tout en bloquant certains outils d’analyse.
- Variante ciblant Windows via pcalua.exe : abus d’un binaire légitime comme lanceur pour dépasser des règles liées à l’heuristique du “process parent”.
- Évasion par modules WebAssembly et stéganographie dans des images SVG : injection de JavaScript malveillant via des sites légitimes compromis, construction d’URL ClickFix, puis affichage d’une page de “vérification” factice.
Ces exemples rappellent que, derrière le “copier-coller”, les attaquants déploient souvent des couches supplémentaires pour rendre leurs liaisons plus difficiles à analyser à l’avance.
Autres voleurs distribués via des leurres d’apparence légitime
Les mêmes constats d’abus de l’apparence “réaliste” se retrouvent dans d’autres campagnes de voleurs. L’une d’elles distribuerait Lumma Stealer à travers des fichiers déguisés en sorties vidéo (notamment des versions présentées comme des “WEBRip” en 1080p ou des “Blu-ray”). Une autre s’appuie sur des logiciels crackés et des jeux piratés, accessibles via des pages de leurre issues d’une stratégie de SEO poisoning, afin de déposer des variantes 64 bits de Lumma Stealer.
Le fil conducteur reste le même : tromper l’utilisateur en lui faisant exécuter ou télécharger quelque chose qui ressemble à une ressource attendue, tout en déclenchant un volet malveillant en arrière-plan.
Comment réduire le risque
Face à des attaques ClickFix et à des voleurs macOS, quelques réflexes simples peuvent réduire fortement l’exposition :
- Ne copiez-collez pas une commande dans Terminal si elle n’a pas été vérifiée par une source de confiance.
- Surveillez les demandes inattendues d’identifiants système et les messages d’erreur “trop” conformes à ce que l’attaquant veut vous faire croire.
- Installez et mettez à jour régulièrement vos logiciels et votre système, puis vérifiez les outils de sécurité capables de détecter des comportements suspects (téléchargement de charges, exfiltration, demandes d’élévation).
- Si vous utilisez des portefeuilles crypto, activez des mesures de protection supplémentaires (alertes de transactions, restrictions d’accès, et bonnes pratiques de stockage) pour limiter les transferts non autorisés.
Ces mesures ne garantissent pas à elles seules une protection totale, mais elles rendent l’attaque moins efficace et facilitent une réaction plus rapide.
Conclusion
Cette nouvelle campagne montre que les attaques ClickFix ne servent pas uniquement à voler des informations : elles peuvent aussi viser l’argent. En combinant un chargeur adapté à macOS, un voleur capable de récupérer des données de navigateurs et de Keychain, puis une routine “DRAIN” pour transférer des fonds crypto, les attaquants augmentent l’impact potentiel sur les victimes.
Le point de vigilance central reste l’amorce : le copier-coller d’une commande dans Terminal. En cas de doute, mieux vaut s’abstenir et vérifier la légitimité de la demande avant toute exécution.
Source: https://thehackernews.com/2026/08/clickfix-attacks-deliver-macos-stealer.html
