Microsoft a identifié une opération ClickFix ciblant macOS et utilisant plus de 250 domaines en façade pour filtrer les visiteurs avant d’afficher un leurre malveillant. L’infrastructure de la campagne établit le fingerprinting des navigateurs et des appareils côté serveur, ce qui permet aux attaquants d’éviter les robots d’exploration, les environnements sandbox automatisés et les chercheurs tout en ciblant sélectivement les personnes qui semblent utiliser un véritable ordinateur Mac.
Dans le cadre de l’activité analysée par Microsoft, les visiteurs correspondant aux critères voyaient s’afficher une page de type GitHub faisant la promotion d’un téléchargement pour macOS et affichant un badge contrefait « Éditeur vérifié ». Le vaste ensemble de domaines a été associé à MacSync et à Atomic Stealer (AMOS), bien que Microsoft ait précisé ne pas avoir relié chaque domaine à une charge utile spécifique. L’entreprise n’a pas non plus communiqué le nombre de victimes, les organisations ciblées ni l’identité des opérateurs.
Le fingerprinting détermine la réponse
Le script JavaScript de filtrage, d’environ 2,5 kilo-octets, examine les caractéristiques du navigateur et du système, notamment la plateforme déclarée, les dimensions de l’écran et de la fenêtre, les informations WebGL, le fuseau horaire, l’état des iframes et la prise en charge des écrans tactiles. D’autres vérifications recherchent des signes d’analyse, comme la présence d’une console de développement ouverte ou des réponses inhabituelles lors des tests de compatibilité multimédia du navigateur.
Les informations recueillies sont transmises automatiquement, le serveur déterminant le contenu à renvoyer. Les visiteurs indésirables peuvent recevoir une page vide, une fausse extension ou un site légitime d’apparence sans rapport. Ainsi, un même domaine peut sembler inoffensif lors d’une visite et diffuser un leurre malveillant lors d’une autre. Microsoft a indiqué que les noms de domaine contenant « file » et des mots courants du dictionnaire constituaient des indices potentiels pour la chasse aux menaces, mais qu’ils ne devaient pas être considérés comme une preuve de compromission à eux seuls.
L’exécution dans le Terminal reste essentielle
L’attaque repose toujours sur l’ingénierie sociale. La victime est invitée à copier une commande obfusquée dans le Terminal de macOS et à l’exécuter. Dans la chaîne analysée, la commande contactait un point de terminaison /curl/<id>, téléchargeait des scripts supplémentaires et lançait finalement AMOS. Le voleur peut rechercher des identifiants de navigateur, des données d’authentification, des portefeuilles de cryptomonnaies, des fichiers sensibles et d’autres informations stockées.
Les défenseurs doivent enquêter sur toute activité inhabituelle du Terminal faisant suite à une navigation suspecte, notamment les commandes curl transmises à zsh, le décodage Base64, osascript, la création d’archives et les requêtes POST sortantes. La recherche de formulaires de fingerprinting, de champs masqués, de l’indicateur mode:"php" et de chemins de staging partagés peut être plus efficace que le blocage individuel de domaines jetables.
Les utilisateurs doivent refuser tout site web, CAPTCHA, message de discussion ou invite de téléchargement qui leur demande de coller des commandes dans le Terminal. Microsoft a indiqué que les protections récentes de macOS pouvaient avertir en cas de collage suspect provenant d’un navigateur, tandis que XProtect peut inspecter les processus associés et l’activité réseau. La couche de fingerprinting modifie la manière dont le leurre est exposé, mais pas l’exigence centrale selon laquelle l’utilisateur doit exécuter la commande.