Campagne ClickFix macOS : diffusion d’infostealers

Introduction

Microsoft suit une campagne ClickFix en évolution qui cible désormais les utilisateurs de macOS via de faux contenus de dépannage et de fausses instructions d’installation d’utilitaires. C’est important, car l’attaque s’éloigne des téléchargements d’applications traditionnels et abuse à la place de commandes Terminal, aidant les attaquants à contourner une partie des protections que les utilisateurs attendent des installations standard d’applications macOS.

Nouveautés

Microsoft indique que des acteurs malveillants publient de faux conseils macOS sur des sites web autonomes, Medium, Craft et des plateformes similaires alimentées par les utilisateurs. Les leurres prétendent souvent aider à résoudre des problèmes courants, comme libérer de l’espace disque ou corriger des problèmes système.

Les principaux changements dans cette campagne incluent :

• Les utilisateurs sont invités à coller dans Terminal des commandes encodées en Base64 ou obscurcies
• Les commandes récupèrent du contenu distant et lancent des loaders basés sur des scripts
• Les attaquants utilisent des outils natifs comme curl, osascript et des interpréteurs shell
• Cette méthode évite les contrôles de type Gatekeeper normalement appliqués aux bundles d’applications ouverts dans Finder
• Les charges utiles observées incluent Macsync, SHub Stealer et AMOS

Microsoft a également identifié trois chemins d’exécution :

• Campagne d’installation par loader
• Campagne d’installation par script
• Campagne d’installation par helper

Dans l’ensemble de ces variantes, l’objectif reste le même : collecter des identifiants et des fichiers sensibles, établir une persistance et exfiltrer des données.

Pourquoi c’est important pour les administrateurs IT

Le malware va au-delà du simple vol d’identifiants. Selon Microsoft, ces infostealers peuvent collecter :

• Des entrées Keychain
• Des données de compte iCloud
• Des identifiants de navigateur
• Des données Telegram
• Des médias et documents
• Des données de portefeuille de cryptomonnaie

Certaines variantes remplacent également des applications légitimes de portefeuille crypto par des versions trojanisées, ce qui accroît le risque de vol financier.

Pour les équipes de sécurité, la préoccupation majeure est l’exécution déclenchée par l’utilisateur. Comme la victime exécute manuellement des commandes dans Terminal, les attaquants réduisent leur dépendance aux packages d’applications malveillants et augmentent les chances de compromission réussie.

Actions recommandées

Les administrateurs et les équipes de sécurité doivent prendre les mesures suivantes :

• Sensibiliser les utilisateurs à ne pas coller de commandes dans Terminal depuis des blogs, forums ou pages de dépannage
• Surveiller l’usage suspect de curl, osascript, des interpréteurs shell, ainsi que la création inattendue de LaunchAgent ou LaunchDaemon
• Examiner les chemins de staging tels que /tmp/shub_<random ID> et la création inhabituelle d’archives dans /tmp
• Vérifier les détections liées à l’exfiltration de données, aux invites d’identifiants et à la persistance associée à de faux services de mise à jour
• Prioriser la protection des applications liées aux cryptomonnaies et des magasins de données sensibles comme Keychain

En résumé

Cette campagne ClickFix macOS montre comment l’ingénierie sociale évolue pour contourner les défenses traditionnelles basées sur les applications. Pour les défenseurs, la sensibilisation des utilisateurs, la supervision des endpoints et la détection de l’exécution suspecte de scripts sont désormais essentielles pour stopper ces chaînes d’infostealers avant le vol de données.