Infinity Stealer : un nouveau malware cible macOS via ClickFix

Ce qui s'est passé

Les chercheurs de Malwarebytes ont identifié fin mars 2026 une nouvelle campagne de vol d'informations ciblant les utilisateurs macOS. Le malware, baptisé Infinity Stealer, se distingue par une chaîne d'infection particulièrement sophistiquée. La victime est d'abord dirigée vers une page web imitant une vérification CAPTCHA de Cloudflare. Cette technique, connue sous le nom de ClickFix, incite l'utilisateur à exécuter une commande dans le Terminal macOS en pensant résoudre un simple contrôle de sécurité.

Une fois exécuté, le payload Python est compilé en binaire natif à l'aide de Nuitka, un compilateur open source qui transforme le code Python en code C puis en exécutable. Contrairement à PyInstaller, qui empaquette du bytecode facilement décompilable, Nuitka produit un véritable binaire natif sans couche de bytecode apparente, ce qui complique considérablement l'analyse statique et la détection par les antivirus.

Selon Malwarebytes, c'est la première campagne documentée sur macOS combinant la technique ClickFix avec un infostealer Python compilé via Nuitka. Le malware prend des captures d'écran, collecte les identifiants stockés dans les navigateurs Chromium et Firefox, récupère les cookies de session et les données de formulaires, puis exfiltre l'ensemble via des requêtes HTTP POST vers son serveur C2. Une notification Telegram est envoyée aux attaquants à la fin de l'opération.

Pourquoi c'est important

macOS a longtemps bénéficié d'une réputation de système plus sûr face aux malwares. Cette campagne illustre une tendance de fond : les cybercriminels investissent de plus en plus dans des outils spécifiquement conçus pour la plateforme Apple. L'utilisation de Nuitka comme compilateur représente une évolution technique significative car elle rend les méthodes classiques de détection basées sur l'analyse de bytecode Python totalement inefficaces.

La technique ClickFix, apparue d'abord sur Windows, gagne désormais macOS. Elle exploite la confiance des utilisateurs envers les vérifications CAPTCHA légitimes. Les entreprises équipées de flottes Mac, notamment dans les secteurs créatifs et technologiques, doivent adapter leurs politiques de sécurité pour inclure une sensibilisation spécifique à ce vecteur d'attaque.

Ce qu'il faut retenir

• Ne jamais exécuter de commande Terminal proposée par un site web, même si celui-ci ressemble à un CAPTCHA Cloudflare légitime.
• Mettre à jour les solutions EDR pour inclure la détection des binaires Nuitka suspects sur macOS.
• Surveiller les connexions HTTP sortantes inhabituelles et les notifications Telegram depuis les postes de travail.