ClickFix macOS : 250 domaines fingerprint les Mac pour livrer AMOS

Une infrastructure de 250 domaines conçue pour tromper les défenses automatiques

Le 5 août 2026, Microsoft Threat Intelligence a publié une analyse technique détaillant une évolution majeure d'une campagne ClickFix ciblant les utilisateurs macOS. Ce qui distingue cette opération de ses prédécesseurs, c'est l'adoption d'une technique de filtrage côté serveur sophistiquée : le browser fingerprinting. La campagne opère désormais via un réseau de plus de 250 domaines front-end dont la mission n'est pas de distribuer directement le malware, mais de trier les visiteurs avant de décider de leur présenter une page malveillante.

Concrètement, chaque visiteur est soumis à un questionnaire JavaScript invisible qui collecte des signaux d'environnement précis : agent utilisateur, résolution d'écran, liste des polices système installées, informations sur la carte graphique (GPU) via WebGL, et comportement temporel de rendu. Ces données sont renvoyées au serveur via un formulaire auto-soumis. Si le profil correspond à celui d'un Mac réel — et non à un agent automatisé, un bac à sable de sécurité ou un crawler — le serveur renvoie la charge utile malveillante. Dans le cas contraire, la victime potentielle ne voit qu'une page blanche ou un contenu factice inoffensif.

Cette technique de « porte » côté serveur représente une rupture nette avec les variantes précédentes de ClickFix, qui servaient leurs leurres à tous les visiteurs sans discrimination. En filtrant les outils d'analyse automatisée, les attaquants réduisent considérablement la surface de détection de leur infrastructure, prolongeant ainsi la durée de vie opérationnelle des domaines. Microsoft a observé que cette évolution s'est produite graduellement entre fin 2025 et le début de l'été 2026 sur une infrastructure qu'ils surveillaient depuis plusieurs semaines.

Les visiteurs qui passent le filtre sont accueillis par une page imitant avec soin l'interface de GitHub, complète avec un badge « Verified Publisher » contrefait et un design rappelant les releases de logiciels open source légitimes. Un bouton « Download for macOS » déclenche une action inattendue : plutôt que de lancer un téléchargement, il copie silencieusement dans le presse-papiers de l'utilisateur un one-liner curl obfusqué. Un message d'erreur factice accompagne l'action, demandant à l'utilisateur d'ouvrir le Terminal et de « corriger » le problème en collant la commande — c'est la mécanique classique de ClickFix, ici affinée à l'extrême.

La commande curl récupère des scripts hébergés sur une infrastructure de staging partagée. Microsoft a identifié un artefact révélateur dans les requêtes réseau : le paramètre mode:"php", un résidu de la logique de routage côté serveur qui constitue un indicateur de compromission (IoC) stable, contrairement aux domaines front-end qui changent fréquemment. Les chercheurs ont cartographié 140 IoCs réseau au total, dont 138 subdivisés en neuf sous-domaines, 121 domaines distincts et huit adresses IP.

La chaîne d'infection analysée en détail par Microsoft se termine par le déploiement d'Atomic macOS Stealer (AMOS), l'un des infostealers macOS les plus redoutés depuis 2023. La campagne distribue également MacSync, un autre infostealer ciblant spécifiquement l'écosystème Apple, ainsi que Shub Stealer dans certaines variantes. Ces trois outils partagent des capacités d'exfiltration étendues : mots de passe du trousseau iCloud (Keychain), données des navigateurs (cookies, historique, mots de passe enregistrés), fichiers de portefeuilles de cryptomonnaies, données de synchronisation iCloud Drive, et tout fichier correspondant à des extensions prédéfinies (documents, archives, clés SSH).

L'analyse DNS publiée par CircleID apporte un éclairage complémentaire sur l'infrastructure d'hébergement. Les domaines front-end sont enregistrés en masse via des registrars peu regardants et hébergés sur des CDN ou des hébergeurs « bulletproof ». La rotation rapide des domaines — certains ne vivent que quelques jours — est précisément conçue pour dépasser les listes de blocage statiques. C'est pourquoi Microsoft et les autres chercheurs insistent sur la nécessité de détecter les patterns comportementaux plutôt que les indicateurs statiques.

D'après Datadog Security Labs, qui suit une branche parallèle de la campagne sous le nom « Tech Impersonators », les leurres ne se limitent pas aux faux logiciels utilitaires macOS. Des installeurs contrefaits de logiciels populaires (VPN, outils de productivité, applications de réunion vidéo) servent également de vecteur. La sélection des logiciels usurpés semble ajustée en fonction des tendances de recherche, maximisant les chances que les victimes atterrissent sur un domaine malveillant via un moteur de recherche ou une publicité malvertising.

Une menace qui révèle la sophistication croissante de l'écosystème macOS infostealer

Cette campagne s'inscrit dans une tendance lourde documentée depuis 2023 : l'explosion du marché des infostealers commerciaux ciblant macOS. Longtemps considéré comme plus sûr que Windows en raison de sa moindre prévalence comme cible, l'écosystème Apple attire désormais des acteurs malveillants bien financés. AMOS lui-même est vendu en tant que Malware-as-a-Service (MaaS) via Telegram pour environ 1 000 dollars par mois, abaissant dramatiquement la barrière à l'entrée pour les cybercriminels.

L'adoption du fingerprinting côté serveur marque une nouvelle étape de maturation. Cette technique, empruntée au monde de la fraude publicitaire et de l'évasion de détection web, n'avait jusqu'ici pas été largement observée dans les campagnes de distribution de malware macOS. Son intégration indique que les opérateurs derrière cette campagne disposent de compétences en développement web avancées et d'une connaissance fine des workflows des équipes de sécurité — notamment leur dépendance aux crawlers automatisés pour identifier les sites malveillants.

Pour les entreprises, l'enjeu est particulièrement sérieux dans les environnements où les Mac sont privilégiés : développeurs, designers, équipes marketing, et de plus en plus les cadres dirigeants. Un infostealer déployé sur le Mac d'un développeur peut exfiltrer des clés SSH, des tokens d'API, des credentials Git, et des secrets d'environnement donnant accès aux systèmes de production. La compromission du Keychain iCloud est particulièrement dangereuse car elle peut exposer les mots de passe de tous les services synchronisés.

Le vecteur initial — un utilisateur qui ouvre volontairement un Terminal et colle une commande — contourne la plupart des protections statiques, y compris Gatekeeper et XProtect d'Apple. Les solutions EDR doivent donc être configurées pour surveiller les exécutions de scripts depuis des processus Terminal lancés manuellement, en particulier les appels curl vers des domaines récents ou inconnus suivis de l'exécution de scripts shell.

Ce qu'il faut retenir

• La campagne ClickFix macOS a franchi un cap technologique en intégrant du fingerprinting GPU/WebGL côté serveur pour éviter la détection par les crawlers et sandbox de sécurité.
• Les infostealers AMOS et MacSync ciblés exfiltrent le Keychain iCloud, les wallets crypto et les credentials navigateurs — une compromission aux conséquences dévastatrices pour les développeurs.
• La meilleure stratégie défensive consiste à détecter les patterns comportementaux (formulaires auto-soumis, paramètre mode:"php", appels curl depuis Terminal) plutôt que les IoCs statiques qui changent quotidiennement.