ClickLock rend les Mac inutilisables pour voler les mots de passe

Group-IB a identifié ClickLock Stealer dans une campagne active depuis mai 2026. Au moins 100 systèmes ont été ciblés dans 33 pays, dont plus de la moitié des cibles identifiées en Europe. La commande initiale semble probablement diffusée par des pages de type ClickFix, mais Group-IB n’a pas observé directement ces pages.

Après son exécution, ClickLock ferme les applications interactives environ toutes les 210 millisecondes. Une fausse fenêtre de mot de passe reste affichée et pousse l’utilisateur à saisir ses identifiants. Une boucle peut durer environ 83 heures ; d’autres modules recherchent les données des navigateurs, du Trousseau, des gestionnaires de mots de passe et des portefeuilles crypto, puis envoient des archives vers Telegram.

ClickLock appartient à une catégorie que les chercheurs appellent « infostealers » : des logiciels malveillants dont le but n’est ni la persistance ni la rançon, mais une récolte rapide et méthodique de tout ce qui donne accès — mots de passe enregistrés dans les navigateurs, cookies de session, données de remplissage automatique, fichiers de portefeuilles de cryptomonnaies et trousseaux du système. Le butin est en général empaqueté et exfiltré en quelques minutes, puis vendu ou réutilisé pour des prises de contrôle de comptes ; c’est pourquoi une infection par un voleur doit être traitée comme une compromission complète des identifiants, et non comme un simple problème d’appareil.

Le canal de diffusion soupçonné compte autant que la charge utile. ClickFix est le nom donné à un schéma d’ingénierie sociale qui s’est largement répandu ces dernières années : une page web se fait passer pour un lecteur vidéo en panne, un CAPTCHA ou une consigne de dépannage, et demande au visiteur de copier une commande puis de la coller dans un terminal pour résoudre le prétendu problème. La technique fonctionne parce que la victime effectue elle-même l’installation, en contournant les avertissements qu’un système d’exploitation attache aux programmes téléchargés. Aucune vulnérabilité n’est exploitée, donc aucun correctif de sécurité n’a rien à réparer.

Le phénomène s’inscrit aussi dans un basculement plus large. Les familles de voleurs visant macOS se sont multipliées à mesure que la part de marché de la plateforme grandissait et que le contenu des Mac — identifiants de développeurs, sessions d’entreprise, portefeuilles crypto — prenait de la valeur. Les défenses intégrées comme Gatekeeper et XProtect ont été conçues principalement contre des applications téléchargées malveillantes ; un utilisateur qui tape volontairement une commande dans le Terminal part d’un niveau de confiance que ces mécanismes n’ont jamais été censés surveiller.

Ce qui distingue ClickLock, c’est la mécanique de pression. Tuer les applications de l’utilisateur en boucle rapide pendant qu’une fenêtre de mot de passe reste à l’écran fabrique la sensation d’une panne système que seul un mot de passe pourrait guérir. C’est grossier mais psychologiquement efficace : quelqu’un qui voit ses fenêtres mourir plusieurs fois par seconde n’est pas en état d’examiner l’authenticité d’une boîte de dialogue. Et le mot de passe est le vrai butin, car sur macOS le mot de passe de session déverrouille le trousseau, où le système concentre les identifiants enregistrés — extorquer ce seul secret ouvre la plupart des autres.

Il existe des signes fiables, même sous pression. Les demandes de mot de passe légitimes de macOS ne réapparaissent pas en boucle à intervalle fixe, ne survivent pas d’elles-mêmes à un redémarrage et ne proviennent jamais d’une consigne de page web demandant d’exécuter une commande. Une véritable boîte de dialogue système peut toujours être esquivée en éteignant la machine ; tout ce qui semble conçu pour vous empêcher de faire une pause et de réfléchir est en soi le signal d’alerte.

Ce n’est ni un verrouillage d’écran classique ni un exploit macOS confirmé. Il s’agit d’une ingénierie sociale qui transforme le bureau en invite coercitive. Ne collez jamais une commande Terminal proposée par une page web. En cas de comportement suspect, déconnectez le Mac, éteignez-le, changez les mots de passe depuis un appareil sain et faites contrôler la machine ; le mode sans échec ne prouve pas à lui seul la suppression.

L’ordre des étapes de remédiation a sa raison d’être : les voleurs agissent immédiatement, et une fois les archives parties vers Telegram, nettoyer le Mac ne restitue rien de ce qui a été volé. C’est pourquoi changer ses mots de passe depuis un autre appareil réputé sain vient en premier — en commençant par l’e-mail et tout compte capable d’en réinitialiser d’autres — et pourquoi une aide professionnelle mérite d’être envisagée dès lors qu’une machine a été à la fois soumise à la coercition et laissée allumée.

La prévention, elle, tient surtout aux habitudes. Traitez comme hostile toute page web qui vous demande d’ouvrir le Terminal, aussi plausible que soit son histoire ; aucun service légitime ne répare une lecture vidéo ni ne vérifie votre humanité de cette façon. Un gestionnaire de mots de passe avec des mots de passe uniques par site, plus l’authentification à deux facteurs sur les comptes importants, limite la valeur d’un trousseau récolté. Pour les organisations, la leçon est que cette classe d’attaque vise les personnes plutôt que les logiciels : on la contre par la sensibilisation et la surveillance autant que par l’outillage des postes.