Clicklock, le malware mac qui vole mots de passe et cryptos

À retenir :
– nouveau malware ciblant macOS découvert par group-ib
– fonctionne grâce à l’ingénierie sociale sans exploit technique
– infecté plus de 100 mac dans 33 pays depuis mai
– cible identifiants, cookies et portefeuilles crypto sur plusieurs navigateurs
– porte dérobée persistante établissant un accès distant permanent

---

**ClickLock : le malware sur Mac qui dérobe mots de passe et cryptomonnaies**

Les experts en sécurité de Group-IB ont mis au jour ClickLock, un nouveau logiciel malveillant ciblant macOS dont l’objectif est de subtiliser des informations sensibles. Ce malware a réussi à rester sous le radar des antivirus présents sur VirusTotal lors de son analyse. Son fonctionnement repose totalement sur l’ingénierie sociale, sans nécessiter d’exploit technique ou de privilège système élevé, ce qui incite la victime à entrer elle-même son mot de passe.

Group-IB a détecté ce malware suite à sa soumission sur VirusTotal le 9 juin dernier. Depuis mai, il aurait déjà infecté plus d’une centaine de Mac dans 33 pays différents. La première étape d’infection se fait par un leurre nommé ClickFix : une fausse fenêtre prétendant être un contrôle humain inspirée par Cloudflare pousse la personne ciblée à exécuter une commande dans le Terminal macOS, sans avoir besoin d’une vulnérabilité logicielle.

Une fois cette commande lancée, ClickLock désactive les interruptions du clavier et cache le curseur du Terminal, rendant ainsi le système non réactif. De plus, pendant six heures, le centre de notifications macOS disparaît pour éviter toute alerte potentielle liée à la sécurité. C’est durant cette période que deux LaunchAgents distincts (com.authirity.plist et com.chromer.plist) s’activent en arrière-plan. Le premier élimine les processus visés toutes les 210 millisecondes pendant 83 heures tandis que le second répète cette action toutes les 200 millisecondes pendant 35 jours. Leur cible principale ? Le stockage sécurisé du trousseau associé à Google Chrome pour déchiffrer cookies et mots de passe.

Au cours du processus, une fausse fenêtre dialogue apparaissant avec l’identifiant réel de la victime ainsi que l’icône officielle d’Apple sollicite alors le mot de passe sessionnel; celui-ci est validé puis transmis directement via Telegram.

**Des modules pour siphonner données et portefeuilles crypto**

Un module dédié collecte des données auprès de huit navigateurs différents (Chrome, Firefox, Brave, Edge, Opera, Vivaldi, Arc et Chromium), attaquant ainsi identifiants enregistrés, cookies mais aussi données relatives aux formulaires automatiques empêchant toute protection efficace contre ce vol systématique. Les portefeuilles de cryptomonnaies ne sont pas épargnés : qu’il s’agisse d’extensions intégrées aux navigateurs ou même des fichiers stockés directement sur le bureau ou encore des dispositifs hors ligne utilisés pour conserver ces actifs numériques.

Le module s’intéresse également aux gestionnaires de mots de passe ainsi qu’aux adresses crypto présentes sur plusieurs réseaux comme EVM ou Bitcoin ; il récupère également des informations comme les historiques shell ainsi que les identifiants FTP liés à FileZilla tout en notant l’adresse IP publique du Mac compromis.

Tout ce matériau collecté est ensuite compressé en fichiers ZIP dépassant souvent 40 Mo puis exfiltré grâce aux API Telegram avant que tout soit effacé par le module lui-même.

**Une porte dérobée persistante via GSocket**

Contrairement aux modules chargés du vol qui se suppriment après leur opération initiale , une porte dérobée basée sur GSocket – un outil open source revampé – s’installe durablement via LaunchAgent et crontab . Cette backdoor propose un accès distant permanent au Mac compromis grâce à une installation utilisant la technique dite reverse shell passant par un relais GSocket .

Les fichiers malveillants sont hébergés sur des domaines légitimes préalablement piratés facilitant leur dissimulation , expliquant pourquoi les chercheurs ont observé une fenêtre si étroite lorsde leur repérage . Group-IB a pu identifier divers signaux d’alerte potentiels susceptibles d’attirer l’attention des équipes techniques ; parmi eux figurent notamment quelques appels suspects vers osascript (un utilitaire permettant d’exécuter AppleScripts), répétitions dans la terminaison des processus , accès anormaux massifs autour des profils depuis les navigateurs mais également toute connexion sortante vers Telegram.