Des professionnels de la cybersécurité ont été ciblés par une campagne de phishing particulièrement travaillée utilisant de fausses invitations à des conférences. Huntress, qui a elle-même été visée, indique que l’attaque cherchait à convaincre les victimes d’exécuter manuellement du code dans le Terminal de macOS.

Le résultat : l’installation d’AMOS, également connu sous le nom Atomic macOS Stealer, un malware spécialisé dans le vol d’informations sensibles, notamment les données de navigation, les cookies, les éléments du trousseau macOS et certaines informations liées aux portefeuilles de cryptomonnaies.

📖 Armée américaine : un nœud Bitcoin utilisé pour la cybersécurité

Une attaque qui commence sur X

Selon Huntress, les attaquants utilisent de faux comptes sur X pour cibler des personnes intéressées par des événements comme Black Hat ou DEF CON.

Le fraudeur interagit d’abord avec les publications de la victime afin de créer un minimum de confiance. Il la contacte ensuite directement en prétendant organiser une conférence ou un événement et lui transmet un document Google Docs contenant de supposées informations complémentaires.

Le faux Google Docs déclenche une attaque ClickFix

L’étape suivante repose sur une technique appelée ClickFix.

Le document présente une interface donnant l’impression que son contenu est protégé ou chiffré. La victime reçoit un code supposé permettre l’accès au document.

Une erreur apparaît ensuite volontairement. Le faux système propose alors une solution : ouvrir le Terminal de macOS et copier-coller une commande.

C’est précisément à ce moment que l’utilisateur exécute lui-même le code malveillant.

AMOS installé sur le Mac de la victime

Selon Huntress, la commande conduit finalement au téléchargement et à l’exécution d’Atomic macOS Stealer, ou AMOS.

Ce logiciel espion est conçu pour récupérer différentes catégories de données présentes sur un Mac compromis, notamment :

• les informations enregistrées dans les navigateurs ;
• les cookies de session ;
• certaines données du trousseau d’accès macOS ;
• des fichiers présents sur la machine ;
• des données liées à Telegram ;
• des informations associées à certains portefeuilles de cryptomonnaies.

La présence potentielle de données concernant des wallets rend cette campagne particulièrement sensible pour les personnes travaillant dans l’écosystème crypto ou détenant des actifs numériques sur leur ordinateur.

Une deuxième tentative si la première échoue

Huntress indique également que les attaquants ne s’arrêtent pas nécessairement après un premier échec.

Si la victime n’exécute pas le code du premier document, elle peut recevoir un second document imitant cette fois Dropbox.

Le message prétend que le fichier ne peut être consulté qu’avec l’application de bureau. Le bouton de téléchargement redirige alors vers le malware.

Cette méthode montre que la campagne ne repose pas uniquement sur une pièce jointe malveillante classique. Elle cherche surtout à convaincre la victime d’effectuer elle-même les actions nécessaires à l’infection.

Pourquoi ClickFix fonctionne-t-il ?

ClickFix exploite davantage la confiance et les habitudes de l’utilisateur qu’une vulnérabilité technique du système.

Une fausse erreur est présentée comme un problème banal. La victime reçoit ensuite une procédure de dépannage apparemment légitime qui lui demande de copier une commande dans PowerShell ou dans le Terminal.

Le système d’exploitation peut alors considérer que l’utilisateur exécute volontairement la commande, ce qui permet aux attaquants de contourner certaines protections associées aux téléchargements suspects ou aux pièces jointes traditionnelles.

Des experts en sécurité eux-mêmes ciblés

La particularité de cette campagne est également le profil des personnes visées.

Les attaquants semblent s’intéresser à des professionnels ayant participé ou manifesté un intérêt pour des conférences de cybersécurité comme Black Hat ou DEF CON.

Cela montre qu’une bonne connaissance de la cybersécurité ne suffit pas toujours à éviter une attaque d’ingénierie sociale lorsque celle-ci est suffisamment personnalisée.

⚠️ Que faire si vous avez exécuté la commande ?

Huntress recommande de considérer un système comme compromis si ce type de commande a été exécuté.

• isoler immédiatement la machine du réseau ;
• conserver les éléments utiles à l’analyse de l’incident ;
• révoquer les sessions actives ;
• changer les mots de passe depuis un appareil sain ;
• remplacer les clés API ou autres secrets enregistrés sur la machine ;
• envisager une réinstallation complète du système ;
• vérifier les portefeuilles de cryptomonnaies utilisés ou accessibles depuis l’ordinateur.

Si une seed, une clé privée ou un secret permettant de contrôler directement des cryptomonnaies a pu être exposé, le risque est plus important. Il peut alors être nécessaire de transférer les fonds vers un nouveau portefeuille créé sur un environnement propre.

Attention aux wallets et extensions présentes dans le navigateur

Un infostealer ne cherche pas nécessairement uniquement un fichier contenant une seed.

Les données de navigateur, cookies de session et informations enregistrées localement peuvent aussi permettre de cibler des comptes d’exchange, des services financiers ou certaines extensions de wallets.

Il est donc important de ne pas limiter la réponse à un simple changement de mot de passe sur le Mac infecté.

Le piège à retenir : ne jamais coller une commande reçue dans un document

La règle de sécurité la plus simple face à ClickFix reste probablement la plus efficace :

un document, un site web ou un interlocuteur qui vous demande d’ouvrir le Terminal puis de copier-coller une commande doit immédiatement être considéré comme suspect.

Même lorsqu’il s’agit en apparence d’un document Google, Dropbox ou d’une invitation provenant d’une personne rencontrée sur un réseau social.

🔎 Analyse DUC : Cette attaque mérite notre attention

Cette attaque mérite notre attention parce qu’elle ne cherche pas à casser macOS. Elle cherche à nous convaincre de casser nous-mêmes notre propre sécurité.

Le scénario est efficace : une personne vous contacte dans un contexte crédible, parle d’une conférence correspondant à votre domaine, vous envoie un document Google et transforme ensuite une fausse erreur en procédure de dépannage.

Pour les utilisateurs de Bitcoin et de cryptomonnaies, le danger supplémentaire vient des infostealers comme AMOS. Ils ne ciblent pas uniquement nos mots de passe : ils cherchent tout ce qui peut permettre de reconstruire notre environnement numérique et éventuellement d’accéder à nos actifs.

La règle doit donc devenir automatique : aucun site, aucune conférence et aucun document ne devrait avoir besoin que nous collions une commande inconnue dans le Terminal pour être consulté.

Et si cette commande a déjà été exécutée, il vaut mieux considérer immédiatement la machine comme compromise plutôt que d’attendre de découvrir ce que le malware a réellement récupéré.

✍️ DUC
📌 Sources : Huntress — analyse de la campagne ClickFix | TechRadar

🚀 Rejoignez-moi pour plus de contenu exclusif !

• 👉 YouTube : Bitcoin sans détour
• 👉 X : @bitcoinduc

📢Prendre des décisions informées dans cet univers passionnant ! Comprendre, Apprendre, Réussir…

• Sur YouTube : toute l’actualité de Bitcoin et un regard averti sur l’ensemble de l’univers des cryptomonnaies.

🔔 Abonnez-vous au site pour ne manquer aucun contenu

À bientôt, DUC