Attaque ClickFix : un simple clic installe Atomic Stealer sur votre Mac — êtes‑vous vulnérable ?
Une nouvelle variante de l’attaque dite « ClickFix » vise désormais les utilisateurs de macOS en contournant les protections introduites par Apple. Plutôt que d’inciter la victime à copier un commande dans le Terminal — manœuvre aujourd’hui accompagnée d’un avertissement explicite dans les versions récentes de macOS — les assaillants exploitent le Script Editor : un simple clic suffit pour importer et exécuter une chaîne de scripts qui finit par installer l’infâme voleur de données Atomic Stealer (connu aussi sous le nom AMOS).
Le scénario classique, détourné
Le mode opératoire initial du ClickFix est relativement simple et repose sur l’ingénierie sociale : un internaute recherche comment récupérer de l’espace disque, tombe sur un faux site imitant l’assistance Apple et suit des « instructions » qui lui sont présentées comme légitimes. Historiquement, ces instructions demandaient d’exécuter une commande dans le Terminal. Apple a partiellement fait reculer cette menace en introduisant des avertissements lors de l’exécution de commandes potentiellement dangereuses. Les cybercriminels ont donc adapté leur méthode.
Le nouvel artifice : Script Editor à la place du Terminal
Les chercheurs de Jamf ont identifié une variante plus sournoise : le site malveillant fournit désormais un bouton qui, lorsqu’on clique dessus, copie automatiquement un code dans le Script Editor du Mac. L’utilisateur, pensant suivre une procédure inoffensive, colle et exécute le script. C’est là que la chaîne d’exécution démarre : le script initial télécharge en cascade d’autres scripts et finit par récupérer et installer Atomic Stealer.
Pourquoi cette méthode est‑elle si dangereuse ?
Plusieurs éléments rendent cette approche préoccupante :
Ce que fait Atomic Stealer (AMOS)
Atomic Stealer est une famille d’infostealers en pleine évolution. Ses fonctionnalités documentées incluent :
La combinaison de vol d’identifiants et de persistance rend ce malware particulièrement rentable pour des acteurs russes, chinois ou des opérations de cybercriminalité commerciale qui revendront les informations sur des marchés clandestins.
Mesures immédiates pour les utilisateurs
Face à cette menace, plusieurs bonnes pratiques doivent être rappelées et appliquées sans délai :
Que faire en cas d’infection suspectée ?
Si vous pensez que votre Mac a été compromis suite à l’exécution d’un script non vérifié, voici une démarche logique :
Responsabilité des plateformes et prévention
Cette évolution du ClickFix met en lumière deux enjeux majeurs : la responsabilité des plateformes de recherche et la nécessité d’une pédagogie accrue. Les résultats de recherche renvoyant vers des faux sites qui usurpent l’identité d’Apple constituent un vecteur initial clé. Google, Bing et les autres moteurs ont des procédures de retrait et de signalement ; leur activation rapide peut réduire la surface d’attaque. Parallèlement, il revient aux éditeurs (Apple en tête) de renforcer les garde‑fous techniques et d’améliorer les messages d’alerte destinés aux utilisateurs non techniques.
Un panorama global inquiétant
Le mécanisme décrit ici n’est pas une simple curiosité technique : il illustre comment la créativité des cybercriminels s’adapte aux protections successives des éditeurs. Chaque renforcement déclenche une transformation des tactiques adverses. Pour les utilisateurs et les organisations, la clé reste la vigilance, la mise à jour régulière des systèmes et l’adoption d’une culture de sécurité numérique active — ne pas croire que « Mac = invulnérable » et traiter toute instruction technique trouvée au hasard sur Internet avec une extrême prudence.
