Clicklock : le nouveau piège qui verrouille votre Mac jusqu’à ce que vous cédiez
Un logiciel malveillant inédit, baptisé ClickLock, bloque littéralement l'écran des utilisateurs de macOS jusqu'à ce qu'ils tapent leur mot de passe..
ClickLock est un logiciel malveillant (ou malware) récemment découvert, ciblant spécifiquement les ordinateurs Apple sous macOS. Il a été identifié pour la première fois le 9 juin 2026, lorsque son code a été déposé sur la plateforme VirusTotal, un service en ligne permettant de scanner des fichiers suspects. À cette date, aucun antivirus ne le détectait comme dangereux, ce qui a alerté les chercheurs de Group-IB, une entreprise spécialisée en cybersécurité. Ce malware exploite une technique appelée ClickFix, déjà connue pour son efficacité à contourner les protections des systèmes. Contrairement à de nombreuses attaques, ClickLock ne nécessite pas de faille de sécurité ni d’élévation de privilèges pour fonctionner, ce qui le rend particulièrement sournois.
L’infection par ClickLock commence généralement par une fausse page web, imitant par exemple un service légitime comme Cloudflare. La victime est incitée à copier-coller une commande Terminal dans l’application Terminal de son Mac. Une fois exécutée, une barre de progression factice s’affiche pour occuper l’utilisateur, tandis que plusieurs modules malveillants se téléchargent en arrière-plan. Le malware se manifeste ensuite par une fenêtre de mot de passe falsifiée, reprenant l’identifiant réel de la victime pour paraître crédible. Si l’utilisateur annule cette fenêtre, ClickLock s’installe durablement via deux agents système, des processus invisibles qui permettent au malware de persister même après un redémarrage.
ClickLock utilise deux stratégies pour forcer la victime à céder. D’abord, il affiche en boucle une demande de mot de passe, fermant toutes les applications visibles (Finder, navigateurs, Terminal, Moniteur d’activité) pour empêcher toute autre action. Selon les analyses, cette pression peut durer jusqu’à 83 heures. Ensuite, pendant près de 35 jours, le malware force l’autorisation d’accès au Trousseau macOS, un espace sécurisé où sont stockés les mots de passe et clés de chiffrement. Cette double approche vise à extorquer les identifiants sensibles de la victime.
ClickLock s’attaque particulièrement aux utilisateurs de macOS stockant des identifiants sensibles, comme les détenteurs de cryptomonnaies ou ceux utilisant un gestionnaire de mots de passe. Une fois les accès obtenus, le malware collecte massivement des données : identifiants de huit navigateurs, extensions de portefeuilles crypto, adresses blockchain, historiques de shell et identifiants FTP. Ces informations sont ensuite compressées et envoyées vers un bot Telegram contrôlé par les attaquants. Enfin, une backdoor est installée pour garantir un accès distant permanent, déguisée en processus lié à iCloud.
Depuis mai 2026, ClickLock a touché environ une centaine de victimes réparties dans 33 pays, avec une concentration de plus de la moitié des cas en Europe. Les chercheurs de Group-IB estiment que cette campagne malveillante est encore en développement. Pour s’en protéger, la règle d’or reste inchangée : ne jamais copier-coller une commande Terminal issue d’une page web suspecte. Cette précaution s’applique à toutes les attaques exploitant la technique ClickFix. Les utilisateurs de macOS doivent rester vigilants face aux demandes d’exécution de commandes, même si elles semblent provenir de sources officielles.
