🔍 Contexte

Publié le 6 mai 2026 par la Microsoft Defender Security Research Team, cet article documente l’évolution d’une campagne ClickFix ciblant les utilisateurs macOS, active depuis fin janvier 2026. La campagne exploite des plateformes de contenu légitimes (Medium, Craft, Squarespace) pour héberger de fausses instructions de dépannage.

🎯 Mécanisme d’infection

Les victimes sont incitées à copier-coller des commandes Terminal encodées en Base64 présentées comme des utilitaires système. Contrairement aux bundles applicatifs soumis à Gatekeeper, les scripts exécutés via Terminal échappent aux vérifications de signature et de notarisation Apple.

Trois vecteurs d’infection distincts ont été identifiés :

  • Loader campaign (depuis février 2026) : téléchargement d’un loader shell via curl, exécution d’un payload AppleScript en mémoire, kill switch CIS/russe
  • Script campaign (avril 2026) : script obfusqué streamé directement dans le shell, découverte de C2 dynamique via Telegram (t.me/ax03bot), exécution en mémoire via osascript
  • Helper campaign (depuis fin janvier 2026) : exécutable Mach-O (helper ou update) déposé dans /tmp/, détection de virtualisation (QEMU, VMware, KVM)

🦠 Payloads et capacités

Les trois campagnes déploient des infostealers aux capacités similaires :

  • Vol de credentials navigateurs (Chromium), Keychain macOS, données iCloud
  • Exfiltration de fichiers (txt, pdf, docx, wallet, kdbx, seed, etc.)
  • Vol de wallets crypto : Electrum, Exodus, Ledger, Trezor, Atomic, MetaMask, Phantom, etc.
  • Trojanisation des apps Ledger Wallet, Trezor Suite et Exodus par des versions contrôlées par l’attaquant
  • Collecte de données Telegram

🔒 Persistance et C2

  • Loader campaign : LaunchAgent com.google.keystone.agent.plist masqué en Google Update, backdoor avec heartbeat vers C2
  • Script campaign : plist com.<random>.plist dans LaunchAgents, C2 dynamique avec fallback Telegram
  • Helper campaign : LaunchDaemon com.finder.helper.plist avec privilèges root, backdoor .mainhelper + wrapper .agent, C2 sur 45.94.47.204

📊 Type d’article

Publication de recherche technique détaillée avec IoCs, requêtes de chasse (KQL), détections Microsoft Defender et analyse MITRE ATT&CK. But principal : documenter la menace et fournir des éléments de détection exploitables.

🧠 TTPs et IOCs détectés

TTP

  • T1204.002 — User Execution: Malicious File (Execution)
  • T1059.002 — Command and Scripting Interpreter: AppleScript (Execution)
  • T1059.004 — Command and Scripting Interpreter: Unix Shell (Execution)
  • T1027 — Obfuscated Files or Information (Defense Evasion)
  • T1140 — Deobfuscate/Decode Files or Information (Defense Evasion)
  • T1543.004 — Create or Modify System Process: Launch Daemon (Persistence)
  • T1543.001 — Create or Modify System Process: Launch Agent (Persistence)
  • T1555.001 — Credentials from Password Stores: Keychain (Credential Access)
  • T1539 — Steal Web Session Cookie (Credential Access)
  • T1552.001 — Unsecured Credentials: Credentials In Files (Credential Access)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1020 — Automated Exfiltration (Exfiltration)
  • T1005 — Data from Local System (Collection)
  • T1074.001 — Data Staged: Local Data Staging (Collection)
  • T1560.001 — Archive Collected Data: Archive via Utility (Collection)
  • T1102 — Web Service (Command and Control)
  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
  • T1568 — Dynamic Resolution (Command and Control)
  • T1036.005 — Masquerading: Match Legitimate Name or Location (Defense Evasion)
  • T1070.004 — Indicator Removal: File Deletion (Defense Evasion)
  • T1497.001 — Virtualization/Sandbox Evasion: System Checks (Defense Evasion)
  • T1176 — Browser Extensions (Persistence)
  • T1608.004 — Stage Capabilities: Drive-by Target (Resource Development)
  • T1189 — Drive-by Compromise (Initial Access)

IOC

Malware / Outils

  • SHub Stealer (stealer)
  • AMOS (stealer)
  • Macsync (stealer)
  • MacSync Stealer (stealer)
  • .mainhelper (backdoor)
  • GoogleUpdate (backdoor)

🟢 Indice de vérification factuelle : 90/100 (haute)

  • ✅ microsoft.com — source reconnue (liste interne) (20pts)
  • ✅ 40139 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 170 IOCs dont des hashes (15pts)
  • ✅ 7/12 IOCs confirmés (AbuseIPDB, MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (15pts)
  • ✅ 24 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • 45.94.47.204 (ip) → VT (17/92 détections)
  • 95.85.251.177 (ip) → VT (4/92 détections)
  • 7ca42f1f23dbdc94… (sha256) → VT (29/75 détections)
  • 241a50befcf5c1aa… (sha256) → VT (20/76 détections)
  • cleanmymacos.org (domain) → VT (18/92 détections)

🔗 Source originale : https://www.microsoft.com/en-us/security/blog/2026/05/06/clickfix-campaign-uses-fake-macos-utilities-lures-deliver-infostealers/