{"code":"var Component=(()=>{var p=Object.create;var i=Object.defineProperty;var m=Object.getOwnPropertyDescriptor;var v=Object.getOwnPropertyNames;var h=Object.getPrototypeOf,f=Object.prototype.hasOwnProperty;var g=(s,e)=>()=>(e||s((e={exports:{}}).exports,e),e.exports),q=(s,e)=>{for(var t in e)i(s,t,{get:e[t],enumerable:!0})},o=(s,e,t,r)=>{if(e&&typeof e==\"object\"||typeof e==\"function\")for(let a of v(e))!f.call(s,a)&&a!==t&&i(s,a,{get:()=>e[a],enumerable:!(r=m(e,a))||r.enumerable});return s};var z=(s,e,t)=>(t=s!=null?p(h(s)):{},o(e||!s||!s.__esModule?i(t,\"default\",{value:s,enumerable:!0}):t,s)),b=s=>o(i({},\"__esModule\",{value:!0}),s);var l=g((S,u)=>{u.exports=_jsx_runtime});var x={};q(x,{default:()=>d});var n=z(l());function c(s){let e={a:\"a\",em:\"em\",h2:\"h2\",h3:\"h3\",img:\"img\",li:\"li\",ol:\"ol\",p:\"p\",strong:\"strong\",ul:\"ul\",...s.components};return(0,n.jsxs)(n.Fragment,{children:[(0,n.jsx)(e.p,{children:\"Votre Mac affiche soudain une fen\\xEAtre qui ressemble trait pour trait \\xE0 un rapport de plantage syst\\xE8me, et elle r\\xE9clame votre mot de passe de session avant de vouloir dispara\\xEEtre. Ne le saisissez pas. En juillet 2026, Jamf Threat Labs a publi\\xE9 l'analyse d'un infostealer macOS baptis\\xE9 CrashStealer, qui fait exactement cela : il se fait passer pour un outil syst\\xE8me macOS ordinaire et r\\xE9colte le mot de passe que vous lui confiez. Si vous avez d\\xE9j\\xE0 saisi le v\\xF4tre, allez directement \\xE0 la proc\\xE9dure d\\xE9taill\\xE9e plus bas dans cette page et d\\xE9roulez-la point par point.\"}),`\n`,(0,n.jsx)(e.p,{children:(0,n.jsx)(e.img,{alt:\"Une demande de mot de passe macOS suspecte affich\\xE9e sur un Mac\",src:\"/images/blog/fake-mac-crash-report-password-prompt-crashstealer-malware-protection-2026/hero.webp\",width:\"1024\",height:\"541\"})}),`\n`,(0,n.jsx)(e.p,{children:\"Il ne s'agit pas ici d'une faille zero-day exotique. Rien n'a \\xE9t\\xE9 pirat\\xE9, aucune faille de s\\xE9curit\\xE9 n'a \\xE9t\\xE9 exploit\\xE9e, et aucune mise \\xE0 jour n'aurait emp\\xEAch\\xE9 cela. Toute l'attaque repose sur un seul ressort : la plupart des utilisateurs de Mac ont \\xE9t\\xE9 entra\\xEEn\\xE9s, au fil d'ann\\xE9es d'usage parfaitement l\\xE9gitime, \\xE0 saisir leur mot de passe dans n'importe quelle fen\\xEAtre qui semble provenir de macOS. CrashStealer dessine une fen\\xEAtre convaincante, et l'utilisateur fait le reste.\"}),`\n`,(0,n.jsx)(e.p,{children:\"C'est donc un probl\\xE8me que vous pouvez r\\xE9ellement r\\xE9soudre par la connaissance plut\\xF4t que par un logiciel. Vous trouverez ci-dessous deux choses absentes de la plupart des articles sur le sujet : une m\\xE9thode pratique pour distinguer une v\\xE9ritable demande d'autorisation macOS d'une imitation dessin\\xE9e par une application, et une proc\\xE9dure calme et ordonn\\xE9e pour le moment o\\xF9 vous r\\xE9alisez que vous avez d\\xE9j\\xE0 saisi votre mot de passe dans l'une d'elles. La premi\\xE8re partie traite de la pr\\xE9vention. La seconde traite de la limitation des d\\xE9g\\xE2ts \\xE0 2 h du matin, car c'est en g\\xE9n\\xE9ral \\xE0 ce moment-l\\xE0 que les gens s'en rendent compte.\"}),`\n`,(0,n.jsx)(e.h2,{id:\"points-cl\\xE9s-\\xE0-retenir\",children:\"Points cl\\xE9s \\xE0 retenir\"}),`\n`,(0,n.jsxs)(e.ul,{children:[`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"Le v\\xE9ritable rapporteur de plantage de macOS ne demande jamais votre mot de passe.\"}),\" Si une fen\\xEAtre qui pr\\xE9tend \\xEAtre un rapport de plantage, un outil de diagnostic ou un programme de mise \\xE0 jour syst\\xE8me r\\xE9clame votre mot de passe de session, cette fen\\xEAtre a \\xE9t\\xE9 dessin\\xE9e par une application, pas par macOS.\"]}),`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"Le contexte l'emporte sur les pixels.\"}),\" Un attaquant d\\xE9termin\\xE9 peut produire un faux parfait au pixel pr\\xE8s. Ce qu'il ne peut pas falsifier, c'est la raison d'apparition d'une v\\xE9ritable demande : les vraies bo\\xEEtes de dialogue d'autorisation macOS font suite \\xE0 une action que vous venez d'effectuer. Une demande qui surgit de nulle part est le signal d'alarme le plus fiable dont vous disposez.\"]}),`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"La notarisation n'est pas un audit de s\\xE9curit\\xE9.\"}),\" Jamf Threat Labs a rapport\\xE9 que l'application distribuant CrashStealer \\xE9tait sign\\xE9e et notaris\\xE9e avec un Apple Developer ID valide, ce qui explique qu'elle soit pass\\xE9e devant Gatekeeper. Apple a depuis r\\xE9voqu\\xE9 le certificat, mais une r\\xE9vocation rel\\xE8ve du nettoyage, pas de la pr\\xE9vention.\"]}),`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"Si vous avez saisi votre mot de passe, consid\\xE9rez que le login Keychain est perdu lui aussi.\"}),\" Jamf a rapport\\xE9 que le malware v\\xE9rifie localement le mot de passe saisi et, s'il est correct, peut s'en servir pour d\\xE9verrouiller le login Keychain et atteindre bien plus que ce que vous avez tap\\xE9.\"]}),`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"L'ordre de r\\xE9cup\\xE9ration compte.\"}),\" Depuis un autre appareil, de confiance : d'abord le mot de passe de l'Apple Account, puis le mot de passe ma\\xEEtre de votre gestionnaire de mots de passe, puis la messagerie, puis l'argent, puis tout le reste. Consid\\xE9rez les phrases de r\\xE9cup\\xE9ration crypto comme d\\xE9finitivement grill\\xE9es.\"]}),`\n`]}),`\n`,(0,n.jsx)(e.h2,{id:\"ce-que-jamf-threat-labs-a-r\\xE9ellement-rapport\\xE9\",children:\"Ce que Jamf Threat Labs a r\\xE9ellement rapport\\xE9\"}),`\n`,(0,n.jsx)(e.p,{children:\"Jamf Threat Labs a publi\\xE9 son analyse de CrashStealer \\xE0 la mi-juillet 2026, et elle a \\xE9t\\xE9 reprise dans les jours suivants par 9to5Mac, MacRumors, Help Net Security, Malwarebytes, Infosecurity Magazine et SecureMac. Il vaut la peine de distinguer ce qui a effectivement \\xE9t\\xE9 rapport\\xE9 de ce qui a depuis \\xE9t\\xE9 paraphras\\xE9 en avertissements plus vagues.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"la-livraison--une-image-disque-qui-nest-pas-celle-que-vous-cherchiez\",children:\"La livraison : une image disque qui n'est pas celle que vous cherchiez\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"D'apr\\xE8s le compte rendu de Jamf, le malware arrive \\xE0 l'int\\xE9rieur d'une image disque nomm\\xE9e \",(0,n.jsx)(e.strong,{children:\"Werkbit Setup\"}),\". La victime monte le DMG et installe ce qu'elle croit \\xEAtre le logiciel qu'elle \\xE9tait all\\xE9e chercher. Rien \\xE0 ce stade ne para\\xEEt alarmant, car \\xE0 ce stade rien ne demande quoi que ce soit d'inhabituel.\"]}),`\n`,(0,n.jsx)(e.p,{children:\"Le d\\xE9tail important ici, c'est la discordance. Vous avez cherch\\xE9 une chose ; l'image disque qui a atterri dans votre dossier T\\xE9l\\xE9chargements porte un autre nom. Cet \\xE9cart est l'un des rares signaux fiables disponibles avant que quoi que ce soit ne s'ex\\xE9cute, et il m\\xE9rite qu'on en fasse une habitude : lisez le nom de l'image disque dans la barre lat\\xE9rale du Finder avant d'en faire glisser quoi que ce soit.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"lapp\\xE2t--une-application-qui-sappelle-crashreporter\",children:\"L'app\\xE2t : une application qui s'appelle CrashReporter\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"Une fois install\\xE9e, rapporte Jamf, l'application malveillante se pr\\xE9sente sous le nom de \",(0,n.jsx)(e.strong,{children:\"CrashReporter.app\"}),\", empruntant \\xE0 la fois le nom et l'apparence g\\xE9n\\xE9rale d'un composant syst\\xE8me macOS ordinaire. Elle affiche ensuite une demande de mot de passe stylis\\xE9e pour ressembler \\xE0 une v\\xE9ritable bo\\xEEte de dialogue syst\\xE8me macOS.\"]}),`\n`,(0,n.jsx)(e.p,{children:\"C'est un bon d\\xE9guisement, pour une raison pr\\xE9cise. Les rapports de plantage font partie des rares choses que macOS pr\\xE9sente r\\xE9ellement sans qu'on lui demande. Les applications plantent, macOS propose bien d'envoyer un rapport, et la plupart des utilisateurs ont \\xE9cart\\xE9 cette bo\\xEEte de dialogue des dizaines de fois sans la lire attentivement. Le malware emprunte cette familiarit\\xE9. Il appara\\xEEt \\xE0 un moment o\\xF9 une fen\\xEAtre syst\\xE8me inattendue ne semblerait pas \\xE9trange, et il r\\xE9clame la seule chose que la vraie bo\\xEEte de dialogue ne demande jamais.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"ce-qui-se-passe-quand-vous-tapez\",children:\"Ce qui se passe quand vous tapez\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"C'est ce point qui rend CrashStealer pire qu'une simple fen\\xEAtre de phishing. Jamf a rapport\\xE9 que le malware \",(0,n.jsx)(e.strong,{children:\"v\\xE9rifie localement le mot de passe saisi\"}),\" et que, si le mot de passe est correct, il peut s'en servir pour \",(0,n.jsx)(e.strong,{children:\"d\\xE9verrouiller le login Keychain\"}),\".\"]}),`\n`,(0,n.jsx)(e.p,{children:\"Songez \\xE0 ce que cela signifie en pratique. Le mot de passe que vous avez tap\\xE9 n'est pas le troph\\xE9e en lui-m\\xEAme. C'est la cl\\xE9 du conteneur qui abrite tout le reste. Votre login Keychain est l'endroit o\\xF9 macOS stocke les mots de passe Wi-Fi, les identifiants d'applications, les certificats, les notes s\\xE9curis\\xE9es et, pour beaucoup de gens, une longue tra\\xEEne d'identifiants de sites web enregistr\\xE9s. Le d\\xE9verrouiller transforme une seule cha\\xEEne de caract\\xE8res vol\\xE9e en un vidage complet d'identifiants.\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"Les cibles rapport\\xE9es vont dans ce sens : identifiants stock\\xE9s dans les navigateurs, donn\\xE9es de gestionnaires de mots de passe, donn\\xE9es de portefeuilles de cryptomonnaies y compris les extensions de portefeuille pour navigateur, et contenu du login Keychain. Si vous vous \\xEAtes d\\xE9j\\xE0 demand\\xE9 pourquoi nous r\\xE9p\\xE9tons que le mot de passe de votre Mac n'est pas un simple verrou d'\\xE9cran, voil\\xE0 pourquoi. Il se situe \\xE0 la racine de l'arbre des identifiants. Notre guide sur \",(0,n.jsx)(e.a,{href:\"/blog/mac-keeps-asking-login-keychain-password-macos-tahoe-fix-2026\",children:\"pourquoi macOS r\\xE9clame sans cesse votre mot de passe du login Keychain\"}),\" explique \\xE0 quel point ce trousseau est \\xE9troitement li\\xE9 \\xE0 votre mot de passe de compte dans des circonstances normales et non malveillantes.\"]}),`\n`,(0,n.jsx)(e.h3,{id:\"deux-points-techniques-\\xE0-conna\\xEEtre\",children:\"Deux points techniques \\xE0 conna\\xEEtre\"}),`\n`,(0,n.jsx)(e.p,{children:\"Jamf a mis en avant deux caract\\xE9ristiques pertinentes pour les d\\xE9fenseurs, m\\xEAme si vous ne touchez jamais \\xE0 un d\\xE9sassembleur.\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"Premi\\xE8rement, CrashStealer est \\xE9crit en \",(0,n.jsx)(e.strong,{children:\"C++\"}),\" natif. Beaucoup de stealers Mac de ces derni\\xE8res ann\\xE9es s'appuyaient largement sur AppleScript, qui est comparativement facile \\xE0 inspecter, facile \\xE0 reconna\\xEEtre par motif pour les outils de s\\xE9curit\\xE9, et facile \\xE0 cloisonner pour macOS lui-m\\xEAme derri\\xE8re des autorisations d'automatisation. Un binaire natif contourne une cat\\xE9gorie de d\\xE9tection sur laquelle l'\\xE9cosyst\\xE8me avait pris l'habitude de compter. L'enseignement pratique pour un utilisateur ordinaire : des heuristiques du type \\xAB les applications malveillantes demandent des autorisations d'automatisation \\xBB ne sont pas une r\\xE8gle sur laquelle vous pouvez vous reposer.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[\"Deuxi\\xE8mement, et c'est plus lourd de cons\\xE9quences, l'application de distribution \\xE9tait \",(0,n.jsx)(e.strong,{children:\"sign\\xE9e et notaris\\xE9e avec un Apple Developer ID valide\"}),\". C'est pour cela que Gatekeeper l'a laiss\\xE9e passer sans les frictions que la plupart des gens associent aux logiciels non fiables. Nous y reviendrons, car le \\xAB mais c'\\xE9tait notaris\\xE9 \\xBB joue un r\\xF4le d\\xE9mesur\\xE9 et non m\\xE9rit\\xE9 dans les mod\\xE8les de menace de beaucoup de monde.\"]}),`\n`,(0,n.jsx)(e.h3,{id:\"la-chronologie\",children:\"La chronologie\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"Selon Jamf, des \\xE9chantillons ant\\xE9rieurs, apparemment incomplets ou encore en d\\xE9veloppement, ont fait surface vers \",(0,n.jsx)(e.strong,{children:\"mai 2026\"}),\". Des versions fonctionnelles, observ\\xE9es en conditions r\\xE9elles, ont \\xE9t\\xE9 d\\xE9tect\\xE9es \",(0,n.jsx)(e.strong,{children:\"d\\xE9but juillet 2026\"}),\", et l'analyse publique a suivi autour du 13 au 15 juillet.\"]}),`\n`,(0,n.jsx)(e.p,{children:\"Ces deux mois d'\\xE9cart entre des \\xE9chantillons \\xE0 moiti\\xE9 construits et un d\\xE9ploiement op\\xE9rationnel sont la norme, et c'est une raison de ne pas consid\\xE9rer une analyse publi\\xE9e isol\\xE9e comme le mot de la fin. Les stealers sont sans cesse remani\\xE9s. Le nom de l'image disque, le nom de l'application et la formulation exacte de la demande sont les \\xE9l\\xE9ments les plus jetables de cette op\\xE9ration. La technique, elle, est la partie durable, et c'est la technique qu'il vaut la peine d'apprendre.\"}),`\n`,(0,n.jsx)(e.h2,{id:\"lid\\xE9e-centrale--une-demande-de-mot-de-passe-est-une-pr\\xE9tention-pas-une-preuve\",children:\"L'id\\xE9e centrale : une demande de mot de passe est une pr\\xE9tention, pas une preuve\"}),`\n`,(0,n.jsx)(e.p,{children:\"Avant les listes de v\\xE9rification, une id\\xE9e qui rend toutes les suivantes plus faciles \\xE0 retenir.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Quand une fen\\xEAtre appara\\xEEt \\xE0 l'\\xE9cran et r\\xE9clame votre mot de passe, cette fen\\xEAtre formule une pr\\xE9tention sur son identit\\xE9. Elle pr\\xE9tend \\xEAtre macOS. Rien dans l'apparence d'une fen\\xEAtre ne peut \\xE9tayer cette pr\\xE9tention, car toute application autoris\\xE9e \\xE0 dessiner sur votre \\xE9cran peut dessiner n'importe quoi, y compris une r\\xE9plique parfaite d'une bo\\xEEte de dialogue syst\\xE8me. Les polices, les espacements, l'ic\\xF4ne de cadenas, la nuance exacte du mat\\xE9riau d'arri\\xE8re-plan, la position des boutons, la petite ic\\xF4ne d'application dans le coin : tout cela n'est que des pixels, et tout cela est copiable.\"}),`\n`,(0,n.jsx)(e.p,{children:\"La question n'est donc jamais \\xAB est-ce que cela a l'air authentique ? \\xBB. La question est \\xAB y a-t-il une raison pour qu'une vraie demande apparaisse ici ? \\xBB.\"}),`\n`,(0,n.jsx)(e.p,{children:\"C'est ce recadrage qui sous-tend tout le reste de cet article. L'inspection visuelle conserve sa valeur, et vous trouverez ci-dessous des v\\xE9rifications pr\\xE9cises qui d\\xE9masquent r\\xE9ellement les faux b\\xE2cl\\xE9s. Mais l'inspection visuelle est un filtre, pas un verdict. Le contexte, lui, est le verdict.\"}),`\n`,(0,n.jsx)(e.h2,{id:\"analyse-visuelle--vraie-demande-macos-contre-faux-dessin\\xE9-par-une-application\",children:\"Analyse visuelle : vraie demande macOS contre faux dessin\\xE9 par une application\"}),`\n`,(0,n.jsx)(e.p,{children:\"Voici ce que vous pouvez r\\xE9ellement v\\xE9rifier, \\xE0 peu pr\\xE8s par ordre du poids que m\\xE9rite chaque contr\\xF4le.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"1-avez-vous-fait-quelque-chose-qui-n\\xE9cessiterait-une-autorisation-\",children:\"1. Avez-vous fait quelque chose qui n\\xE9cessiterait une autorisation ?\"}),`\n`,(0,n.jsx)(e.p,{children:\"C'est de loin le contr\\xF4le le plus utile, et il ne co\\xFBte rien.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Les v\\xE9ritables demandes d'autorisation macOS sont des cons\\xE9quences. Vous avez install\\xE9 quelque chose. Vous avez modifi\\xE9 dans System Settings un r\\xE9glage prot\\xE9g\\xE9 par un cadenas. Vous avez approuv\\xE9 une extension syst\\xE8me. Vous avez lanc\\xE9 une commande n\\xE9cessitant des privil\\xE8ges \\xE9lev\\xE9s. Vous avez d\\xE9verrouill\\xE9 un \\xE9l\\xE9ment du trousseau. Vous avez modifi\\xE9 une configuration r\\xE9seau. Dans chacun de ces cas, vous avez effectu\\xE9 une action d\\xE9lib\\xE9r\\xE9e une seconde ou deux plus t\\xF4t, et la demande nomme cette action.\"}),`\n`,(0,n.jsx)(e.p,{children:\"En fonctionnement normal, macOS ne d\\xE9cide pas tout seul de vous r\\xE9clamer votre mot de passe de session pendant que vous lisez une page web ou regardez une vid\\xE9o. Si une demande de mot de passe appara\\xEEt et que vous ne pouvez pas d\\xE9signer l'action que vous venez de faire et qui l'a provoqu\\xE9e, traitez-la comme hostile jusqu'\\xE0 preuve du contraire. Pas \\xAB probablement sans danger \\xBB. Hostile.\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"Le corollaire est inconfortable mais vrai : un attaquant qui conna\\xEEt cette r\\xE8gle essaiera de synchroniser la fausse demande avec quelque chose que vous avez fait, le plus souvent l'instant qui suit l'installation de son application. Une demande qui appara\\xEEt imm\\xE9diatement apr\\xE8s l'ouverture d'un logiciel fra\\xEEchement t\\xE9l\\xE9charg\\xE9 n'est \",(0,n.jsx)(e.em,{children:\"pas\"}),\" un contexte rassurant. C'est exactement le moment o\\xF9 appara\\xEEt la demande de CrashStealer.\"]}),`\n`,(0,n.jsx)(e.h3,{id:\"2-ce-qui-vous-demande-a-t-il-la-moindre-l\\xE9gitimit\\xE9-\\xE0-le-faire-\",children:\"2. Ce qui vous demande a-t-il la moindre l\\xE9gitimit\\xE9 \\xE0 le faire ?\"}),`\n`,(0,n.jsx)(e.p,{children:\"Certains composants syst\\xE8me r\\xE9clament votre mot de passe de fa\\xE7on routini\\xE8re. D'autres ne le font jamais.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Le rapporteur de plantage de macOS appartient fermement \\xE0 la cat\\xE9gorie \\xAB jamais \\xBB. Quand une application plante, la vraie bo\\xEEte de dialogue vous indique que l'application a quitt\\xE9 de mani\\xE8re impr\\xE9vue et vous propose de la rouvrir, d'ignorer, ou d'envoyer un rapport \\xE0 Apple. Elle n'a pas besoin de votre mot de passe, car envoyer un journal de plantage \\xE0 Apple ne requiert aucun droit d'administrateur. Il n'existe aucune configuration dans laquelle le v\\xE9ritable rapporteur de plantage vous demande de vous authentifier.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Il en va de m\\xEAme pour la plupart des \\xE9l\\xE9ments qui se contentent de vous afficher une information. Une fen\\xEAtre vous annon\\xE7ant qu'une application a plant\\xE9, une notification concernant une mise \\xE0 jour disponible, une bo\\xEEte de dialogue \\xE0 propos d'un document qui n'a pas pu \\xEAtre enregistr\\xE9, un message signalant un disque d\\xE9connect\\xE9 : aucun de ces \\xE9l\\xE9ments n'a de raison l\\xE9gitime d'exiger votre mot de passe de session. Si un message d'information se transforme soudain en demande d'authentification, c'est cette fen\\xEAtre qui ne va pas, pas votre Mac.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Les cat\\xE9gories qui d\\xE9clenchent v\\xE9ritablement une demande : l'installation de logiciels qui \\xE9crivent en dehors de votre dossier de d\\xE9part, le d\\xE9verrouillage des volets cadenass\\xE9s dans System Settings, l'approbation d'extensions noyau ou syst\\xE8me, la modification des r\\xE9glages FileVault ou de s\\xE9curit\\xE9 au d\\xE9marrage, et l'acc\\xE8s au trousseau pour des \\xE9l\\xE9ments stock\\xE9s sp\\xE9cifiques. Si la fen\\xEAtre devant vous ne fait rien de tout cela, elle ne devrait rien demander.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"3-d\\xE9couvrez-quelle-application-demande-r\\xE9ellement\",children:\"3. D\\xE9couvrez quelle application demande r\\xE9ellement\"}),`\n`,(0,n.jsx)(e.p,{children:\"Une fausse demande appartient \\xE0 un processus. Vous pouvez aller chercher ce processus pendant que la demande est encore \\xE0 l'\\xE9cran.\"}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Regardez la barre des menus.\"}),\" Amenez votre pointeur en haut de l'\\xE9cran. Le nom d'application affich\\xE9 \\xE0 c\\xF4t\\xE9 du menu Pomme vous indique quelle application est actuellement au premier plan. Si une fen\\xEAtre pr\\xE9tendant \\xEAtre une bo\\xEEte de dialogue syst\\xE8me est affich\\xE9e et que la barre des menus indique le nom d'une application que vous venez de t\\xE9l\\xE9charger, vous avez votre r\\xE9ponse.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Essayez Commande-Tab.\"}),\" Si vous pouvez passer \\xE0 autre chose et que la demande se retrouve derri\\xE8re une autre fen\\xEAtre comme n'importe quelle fen\\xEAtre d'application ordinaire, elle appartient \\xE0 une application. Certaines vraies bo\\xEEtes de dialogue syst\\xE8me flottent au-dessus de tout ; un faux dessin\\xE9 par une application souvent non, et celles qui flottent se trahissent autrement.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Ouvrez Force Quit.\"}),\" Appuyez sur Commande-Option-\\xC9chap. La fen\\xEAtre Force Quit liste vos applications en cours d'ex\\xE9cution par leur nom. Cherchez tout ce que vous ne reconnaissez pas, tout ce qui est apparu dans la liste au moment m\\xEAme o\\xF9 la demande s'est affich\\xE9e, ou tout ce dont le nom est suspicieusement proche d'un composant syst\\xE8me. Quitter l'application incrimin\\xE9e fait g\\xE9n\\xE9ralement dispara\\xEEtre la demande, ce qui constitue en soi la confirmation que vous cherchiez.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Ouvrez Activity Monitor.\"}),\" Applications > Utilitaires > Activity Monitor vous donne une liste plus longue, y compris les processus d'arri\\xE8re-plan. Triez par CPU ou par nom de processus et cherchez les arriv\\xE9es r\\xE9centes. C'est plus de travail que Force Quit et plus sujet aux fausses alertes, puisque macOS ex\\xE9cute l\\xE9gitimement beaucoup de processus d'arri\\xE8re-plan aux noms \\xE9tranges, mais c'est l\\xE0 qu'il faut regarder quand Force Quit ne montre rien.\"]}),`\n`,(0,n.jsx)(e.p,{children:\"La limite, en toute honn\\xEAtet\\xE9 : un faux bien construit peut nommer son processus de fa\\xE7on anodine, et vous ne reconna\\xEEtrez pas n\\xE9cessairement un nom malveillant parmi la centaine de noms l\\xE9gitimes. Ce contr\\xF4le d\\xE9masque les faux paresseux de mani\\xE8re fiable, et les faux sophistiqu\\xE9s parfois seulement.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"4-le-test-du-glissement\",children:\"4. Le test du glissement\"}),`\n`,(0,n.jsx)(e.p,{children:\"Celui-ci est r\\xE9ellement utile, et il fonctionne dans un seul sens.\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"Essayez de faire glisser la fen\\xEAtre de demande \\xE0 travers l'\\xE9cran. Poussez-la vers le bord oppos\\xE9, ou sur un second \\xE9cran si vous en avez un. Une vraie bo\\xEEte de dialogue syst\\xE8me est une fen\\xEAtre \\xE0 part enti\\xE8re et peut \\xEAtre d\\xE9plac\\xE9e n'importe o\\xF9 sur le bureau. Un faux dessin\\xE9 \",(0,n.jsx)(e.em,{children:\"\\xE0 l'int\\xE9rieur\"}),\" d'une autre fen\\xEAtre, ce qui est fr\\xE9quent quand le faux r\\xE9side dans une page web, une application Electron ou une vue plein \\xE9cran, ne peut pas franchir les limites de sa fen\\xEAtre parente. Si la demande se coupe, revient brusquement en place, ou refuse de sortir d'un rectangle qui correspond \\xE0 la fen\\xEAtre d'une autre application, c'est un faux. Point final.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[\"L'aspect unidirectionnel : si la demande \",(0,n.jsx)(e.em,{children:\"se d\\xE9place\"}),\" librement partout \\xE0 l'\\xE9cran, cela ne prouve rien. Une application native peut cr\\xE9er une fen\\xEAtre flottante sans bordure qui se d\\xE9place exactement comme une bo\\xEEte de dialogue syst\\xE8me. R\\xE9ussir le test du glissement n'est pas un certificat de bonne sant\\xE9. Y \\xE9chouer est une condamnation.\"]}),`\n`,(0,n.jsx)(e.p,{children:\"Une variante voisine : essayez de redimensionner la fen\\xEAtre, ou rep\\xE9rez une fen\\xEAtre dont la taille est subtilement inadapt\\xE9e \\xE0 son contenu. Les faux construits \\xE0 partir d'une vue web se redimensionnent parfois bizarrement quand vous changez la r\\xE9solution d'affichage ou passez d'un \\xE9cran \\xE0 un autre avec une mise \\xE0 l'\\xE9chelle diff\\xE9rente.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"5-utilisez-touch-id-plut\\xF4t-que-le-clavier\",children:\"5. Utilisez Touch ID plut\\xF4t que le clavier\"}),`\n`,(0,n.jsx)(e.p,{children:\"Si votre Mac dispose de Touch ID et qu'on vous demande de vous authentifier pour une action que vous avez r\\xE9ellement initi\\xE9e, utilisez le capteur d'empreinte plut\\xF4t que le clavier.\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"Ce n'est pas parce que Touch ID serait impossible \\xE0 imiter visuellement. Une application peut afficher une invite au style Touch ID. La raison pour laquelle cela aide est plus directe : \",(0,n.jsx)(e.strong,{children:\"une authentification par empreinte digitale ne remet pas votre mot de passe \\xE0 l'application.\"}),\" La v\\xE9ritable authentification Touch ID passe par la Secure Enclave et renvoie une r\\xE9ponse par oui ou par non au processus demandeur. Rien ne saisit votre mot de passe, donc rien ne le capture. Si la fen\\xEAtre est fausse, vous lui avez donn\\xE9 un scan d'empreinte qu'elle ne peut pas convertir en identifiant.\"]}),`\n`,(0,n.jsx)(e.p,{children:\"Il y a un second signal l\\xE0-dedans. Si vous effectuez une action qui vous propose normalement Touch ID sur votre Mac, et que cette demande pr\\xE9cise insiste pour un mot de passe tap\\xE9 sans aucune option Touch ID, demandez-vous pourquoi. Certaines demandes l\\xE9gitimes exigent bel et bien un mot de passe tap\\xE9, c'est donc un drapeau jaune plut\\xF4t que rouge, mais combin\\xE9 aux autres contr\\xF4les il p\\xE8se dans la balance.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"6-\\xE9chap-puis-observez-ce-qui-se-passe\",children:\"6. \\xC9chap, puis observez ce qui se passe\"}),`\n`,(0,n.jsx)(e.p,{children:\"Appuyez sur \\xC9chap, ou cliquez sur Annuler. Puis observez.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Une v\\xE9ritable demande d'autorisation s'annule proprement et l'action que vous effectuiez \\xE9choue d'une mani\\xE8re coh\\xE9rente. Vous avez tent\\xE9 de d\\xE9verrouiller un volet de r\\xE9glages ; le volet reste verrouill\\xE9. Vous avez tent\\xE9 d'installer quelque chose ; le programme d'installation signale qu'il n'a pas pu continuer.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Un faux, lui, insiste g\\xE9n\\xE9ralement. Il r\\xE9appara\\xEEt au bout de quelques secondes, ou \\xE0 chaque fois que vous cliquez sur le bureau, ou \\xE0 la prochaine ouverture de session, ou bien il ne dispara\\xEEt jamais tout \\xE0 fait. La persistance face \\xE0 une annulation est un indice fort, car toute la valeur du malware d\\xE9pend de l'obtention finale de votre mot de passe. Il est con\\xE7u pour continuer \\xE0 demander. Les vraies bo\\xEEtes de dialogue syst\\xE8me, non.\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"Ce contr\\xF4le a un co\\xFBt : vous devez attendre pour voir si la demande revient, et pendant ce temps vous \\xEAtes assis devant un Mac qui ex\\xE9cute peut-\\xEAtre activement quelque chose dont vous ne voulez pas. Utilisez-le, mais ne l'utilisez pas \",(0,n.jsx)(e.em,{children:\"\\xE0 la place\"}),\" d'une d\\xE9connexion.\"]}),`\n`,(0,n.jsx)(e.h3,{id:\"7-lisez-le-texte-mais-accordez-lui-peu-de-poids\",children:\"7. Lisez le texte, mais accordez-lui peu de poids\"}),`\n`,(0,n.jsx)(e.p,{children:\"Les faux b\\xE2cl\\xE9s se trompent sur des d\\xE9tails. Une formulation g\\xE9n\\xE9rique l\\xE0 o\\xF9 macOS nommerait une application pr\\xE9cise ou une action pr\\xE9cise. Des majuscules l\\xE9g\\xE8rement \\xE0 c\\xF4t\\xE9. Un num\\xE9ro de version ou un nom de produit qui ne correspond pas \\xE0 ce que vous utilisez. Une grammaire qui sent la traduction. Des libell\\xE9s de boutons dans le mauvais ordre au regard des conventions macOS. Une ic\\xF4ne qui est une version l\\xE9g\\xE8rement p\\xE9rim\\xE9e de l'ic\\xF4ne syst\\xE8me actuelle.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Tout cela m\\xE9rite d'\\xEAtre remarqu\\xE9, et rien de tout cela ne m\\xE9rite qu'on s'y fie. La typographie d'une bo\\xEEte de dialogue syst\\xE8me est un probl\\xE8me r\\xE9solu pour un attaquant muni d'une capture d'\\xE9cran et d'un apr\\xE8s-midi. Traitez les bizarreries textuelles comme une raison d'encha\\xEEner sur les autres contr\\xF4les, jamais comme la derni\\xE8re ligne de d\\xE9fense.\"}),`\n`,(0,n.jsx)(e.p,{children:(0,n.jsx)(e.img,{alt:\"Comparaison entre une v\\xE9ritable bo\\xEEte de dialogue d'autorisation macOS et une fausse demande de mot de passe dessin\\xE9e par une application\",src:\"/images/blog/fake-mac-crash-report-password-prompt-crashstealer-malware-protection-2026/content-1.webp\",width:\"1024\",height:\"541\"})}),`\n`,(0,n.jsx)(e.h3,{id:\"soyez-lucide-sur-les-limites-de-linspection-visuelle\",children:\"Soyez lucide sur les limites de l'inspection visuelle\"}),`\n`,(0,n.jsx)(e.p,{children:\"Chacun des contr\\xF4les ci-dessus peut \\xEAtre mis en \\xE9chec par un attaquant suffisamment soigneux. Un faux natif, bien construit, apparaissant \\xE0 un moment plausible, qui se d\\xE9place librement, emploie la bonne formulation et dispara\\xEEt quand vous annulez, passerait tous les tests visuels de cet article.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Ce n'est pas une raison de sauter ces contr\\xF4les. C'est une raison de comprendre \\xE0 quoi ils servent. Ils d\\xE9masquent la majorit\\xE9 des faux rencontr\\xE9s dans la r\\xE9alit\\xE9, qui ne sont pas construits avec un soin illimit\\xE9. Mais la couche situ\\xE9e en dessous, celle qui ne d\\xE9pend pas du savoir-faire de l'attaquant, est comportementale.\"}),`\n`,(0,n.jsx)(e.h2,{id:\"les-r\\xE8gles-de-comportement-qui-ne-d\\xE9pendent-pas-du-savoir-faire-de-lattaquant\",children:\"Les r\\xE8gles de comportement qui ne d\\xE9pendent pas du savoir-faire de l'attaquant\"}),`\n`,(0,n.jsx)(e.p,{children:\"Voici les r\\xE8gles qui tiennent m\\xEAme quand le faux est parfait.\"}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"R\\xE8gle 1 : ne saisissez jamais votre mot de passe dans une demande que vous n'avez pas provoqu\\xE9e.\"}),\" Si vous ne pouvez pas nommer l'action qui l'a d\\xE9clench\\xE9e, la r\\xE9ponse est non. Pas \\xAB laissez-moi regarder de plus pr\\xE8s \\xBB. Non.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"R\\xE8gle 2 : en cas de doute, annulez et relancez l'action d\\xE9lib\\xE9r\\xE9ment.\"}),\" Si vous avez r\\xE9ellement besoin d'autoriser quelque chose, \\xE9cartez la demande, quittez l'application, et initiez l'action vous-m\\xEAme depuis un endroit de confiance. Ouvrez System Settings vous-m\\xEAme et cliquez sur le cadenas. Lancez le programme d'installation vous-m\\xEAme depuis le Finder. Si une demande appara\\xEEt alors comme r\\xE9sultat direct de ce que vous venez de cliquer, elle a bien plus de chances d'\\xEAtre authentique, parce que vous avez cr\\xE9\\xE9 le contexte au lieu d'accepter un contexte qu'on vous a servi.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"R\\xE8gle 3 : une demande qui appara\\xEEt imm\\xE9diatement apr\\xE8s une installation est la demande la plus risqu\\xE9e qui soit.\"}),\" C'est l\\xE0 que vit CrashStealer. Qu'un nouveau logiciel r\\xE9clame votre mot de passe administrateur peut \\xEAtre l\\xE9gitime, mais c'est aussi exactement la forme que prend l'attaque. Si le logiciel vient d'\\xEAtre t\\xE9l\\xE9charg\\xE9 depuis un site que vous n'aviez jamais utilis\\xE9, arr\\xEAtez-vous et reconsid\\xE9rez ce que vous \\xEAtes en train d'installer avant de vous authentifier.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"R\\xE8gle 4 : privil\\xE9giez Touch ID chaque fois qu'il est propos\\xE9.\"}),\" Cela transforme \\xAB je leur ai donn\\xE9 mon mot de passe \\xBB en \\xAB je ne leur ai rien donn\\xE9 \\xBB.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"R\\xE8gle 5 : si quelque chose cloche, d\\xE9connectez d'abord et r\\xE9fl\\xE9chissez ensuite.\"}),\" Couper le Wi-Fi ne vous co\\xFBte rien et prend deux secondes. C'est l'action la moins ch\\xE8re possible, et c'est celle qui emp\\xEAche les donn\\xE9es de partir.\"]}),`\n`,(0,n.jsx)(e.h2,{id:\"si-vous-lavez-d\\xE9j\\xE0-saisi--la-proc\\xE9dure-\\xE0-suivre-apr\\xE8s-exposition\",children:\"Si vous l'avez d\\xE9j\\xE0 saisi : la proc\\xE9dure \\xE0 suivre apr\\xE8s exposition\"}),`\n`,(0,n.jsx)(e.p,{children:\"Cette section part du pire sc\\xE9nario : vous avez saisi votre mot de passe de session dans une demande que vous croyez d\\xE9sormais fausse. Vous \\xEAtes probablement quelque part entre l'agacement et la v\\xE9ritable inqui\\xE9tude. D\\xE9roulez ceci dans l'ordre. La proc\\xE9dure est con\\xE7ue pour que les gestes les plus d\\xE9cisifs viennent en premier, et pour que rien ici n'exige de vous un arbitrage difficile en situation de stress.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Deux remarques de cadrage avant les \\xE9tapes.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Premi\\xE8rement, partez du principe que l'exfiltration a d\\xE9j\\xE0 eu lieu. Les infostealers sont con\\xE7us pour la vitesse ; ils collectent et ils envoient. Ne passez pas vos dix premi\\xE8res minutes \\xE0 essayer de d\\xE9terminer si des donn\\xE9es sont parties. Passez-les en supposant que oui.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Deuxi\\xE8mement, partez du principe que le login Keychain est compromis. Jamf a rapport\\xE9 qu'un mot de passe correct permet \\xE0 CrashStealer de le d\\xE9verrouiller. Cela signifie que la port\\xE9e de cet incident n'est pas \\xAB un mot de passe \\xBB. C'est \\xAB tous les identifiants que ce mot de passe prot\\xE9geait \\xBB.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"\\xE9tape-1--d\\xE9connectez-le-mac-du-r\\xE9seau-tout-de-suite\",children:\"\\xC9tape 1 : d\\xE9connectez le Mac du r\\xE9seau. Tout de suite.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Coupez le Wi-Fi depuis la barre des menus. Si vous \\xEAtes en Ethernet, d\\xE9branchez le c\\xE2ble. Si vous voulez \\xEAtre rigoureux, mettez la machine dans un isolement de type mode Avion en d\\xE9sactivant \\xE0 la fois le Wi-Fi et le Bluetooth.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Cela produit deux effets : cela stoppe tout envoi ult\\xE9rieur de donn\\xE9es que le malware a collect\\xE9es mais pas encore transmises, et cela coupe tout canal d'instructions \\xE0 distance. Cela n'annule pas ce qui est d\\xE9j\\xE0 parti, et cela ne remplace pas la rotation d'identifiants d\\xE9crite plus bas, mais c'est gratuit, instantan\\xE9, et cela borne les d\\xE9g\\xE2ts.\"}),`\n`,(0,n.jsx)(e.p,{children:\"N'\\xE9teignez pas encore le Mac. Vous voudrez l'inspecter sous peu, et un syst\\xE8me en fonctionnement est plus facile \\xE0 inspecter qu'un syst\\xE8me qu'il faut red\\xE9marrer. Si vous n'avez aucune intention de l'inspecter et comptez passer directement \\xE0 un effacement complet, l'\\xE9teindre ne pose pas de probl\\xE8me.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"\\xE9tape-2--cessez-de-saisir-des-identifiants-sur-cette-machine\",children:\"\\xC9tape 2 : cessez de saisir des identifiants sur cette machine\"}),`\n`,(0,n.jsx)(e.p,{children:\"C'est une r\\xE8gle pour les prochaines heures, et c'est celle que les gens enfreignent sans s'en apercevoir.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Ne vous connectez pas \\xE0 votre messagerie sur ce Mac pour v\\xE9rifier s'il y a une activit\\xE9 suspecte. N'y ouvrez pas votre gestionnaire de mots de passe pour changer vos mots de passe. Ne vous connectez pas \\xE0 votre banque dessus pour examiner vos transactions. Chaque identifiant que vous saisissez sur une machine que vous croyez compromise est un identifiant que vous livrez une seconde fois. Le r\\xE9flexe d'aller imm\\xE9diatement tout v\\xE9rifier est puissant et il est exactement \\xE0 l'oppos\\xE9 de ce qu'il faut faire.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Traitez ce Mac comme une sc\\xE8ne de crime en lecture seule tant que vous n'avez pas d\\xE9cid\\xE9 de son sort.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"\\xE9tape-3--passez-sur-un-autre-appareil-de-confiance\",children:\"\\xC9tape 3 : passez sur un autre appareil, de confiance\"}),`\n`,(0,n.jsx)(e.p,{children:\"Utilisez votre t\\xE9l\\xE9phone, une tablette, un autre ordinateur ou la machine d'un proche. Ce qu'il vous faut, c'est un appareil qui n'a pas \\xE9t\\xE9 impliqu\\xE9 dans cet incident.\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"Une pr\\xE9caution : si votre t\\xE9l\\xE9phone est connect\\xE9 aux m\\xEAmes comptes et que vous y conservez un gestionnaire de mots de passe synchronis\\xE9, il reste un appareil \",(0,n.jsx)(e.em,{children:\"utilisable\"}),\" pour la r\\xE9cup\\xE9ration, car la compromission portait sur des identifiants et non sur le t\\xE9l\\xE9phone lui-m\\xEAme. Mais si vous avez la moindre raison de penser que le m\\xEAme programme d'installation malveillant a touch\\xE9 plus d'une machine, utilisez autre chose.\"]}),`\n`,(0,n.jsx)(e.h3,{id:\"\\xE9tape-4--changez-dabord-le-mot-de-passe-de-votre-apple-account\",children:\"\\xC9tape 4 : changez d'abord le mot de passe de votre Apple Account\"}),`\n`,(0,n.jsx)(e.p,{children:\"Faites-le avant tout le reste, depuis l'appareil de confiance.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Votre Apple Account est la racine de l'arbre. Il commande l'acc\\xE8s \\xE0 iCloud Keychain, \\xE0 Localiser, aux sauvegardes iCloud, \\xE0 l'autorisation des appareils, aux achats, et dans bien des cas au chemin de r\\xE9cup\\xE9ration d'autres comptes. Si un attaquant l'obtient, il peut s'en servir pour atteindre des choses que vous n'aviez jamais stock\\xE9es sur le Mac compromis.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Sur iPhone ou iPad : R\\xE9glages > votre nom > Connexion et s\\xE9curit\\xE9 > Changer le mot de passe. Sur le web : appleid.apple.com. Pendant que vous y \\xEAtes, passez en revue la liste des appareils de confiance et retirez tout ce que vous ne reconnaissez pas ou que vous n'utilisez plus.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Choisissez un mot de passe que vous n'avez jamais utilis\\xE9 ailleurs, et ne reprenez pas le sch\\xE9ma d'un ancien.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"\\xE9tape-5--changez-ensuite-le-mot-de-passe-ma\\xEEtre-de-votre-gestionnaire-de-mots-de-passe\",children:\"\\xC9tape 5 : changez ensuite le mot de passe ma\\xEEtre de votre gestionnaire de mots de passe\"}),`\n`,(0,n.jsx)(e.p,{children:\"Si vous utilisez 1Password, Bitwarden, Dashlane, KeePass ou \\xE9quivalent, son mot de passe ma\\xEEtre est la seconde racine. Jamf a signal\\xE9 les donn\\xE9es de gestionnaires de mots de passe parmi les cibles de CrashStealer, consid\\xE9rez donc le coffre comme expos\\xE9.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Depuis l'appareil de confiance, changez le mot de passe ma\\xEEtre, puis cherchez une commande de type \\xAB d\\xE9connecter tous les appareils \\xBB ou \\xAB r\\xE9voquer toutes les sessions \\xBB et utilisez-la. De nombreux gestionnaires de mots de passe proposent aussi une notion de cl\\xE9 secr\\xE8te ou de cl\\xE9 de compte ; si le v\\xF4tre permet de la faire tourner, faites-le \\xE9galement.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Si votre gestionnaire de mots de passe \\xE9tait d\\xE9verrouill\\xE9 sur ce Mac au moment des faits, ou si ses donn\\xE9es \\xE9taient mises en cache localement, consid\\xE9rez que le contenu du coffre est connu de l'attaquant. C'est une sensation d\\xE9sagr\\xE9able, et cela vous donne aussi une liste de t\\xE2ches pr\\xE9cise : tout ce qui se trouve dans le coffre doit \\xEAtre chang\\xE9. Priorisez selon les \\xE9tapes suivantes.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"\\xE9tape-6--faites-tourner-la-messagerie-puis-largent-puis-tout-le-reste\",children:\"\\xC9tape 6 : faites tourner la messagerie, puis l'argent, puis tout le reste\"}),`\n`,(0,n.jsx)(e.p,{children:\"L'ordre n'est pas arbitraire. Il suit le rayon d'impact.\"}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"La messagerie d'abord.\"}),\" Celui qui contr\\xF4le votre messagerie peut r\\xE9initialiser la plupart de vos autres comptes. Changez le mot de passe de chaque compte de messagerie que vous poss\\xE9dez, en commen\\xE7ant par celui qui re\\xE7oit les messages de r\\xE9initialisation de mot de passe. Puis, dans les r\\xE9glages de s\\xE9curit\\xE9 de chaque compte, cherchez la liste des sessions actives ou des appareils autoris\\xE9s et r\\xE9voquez tout ce que vous ne reconnaissez pas. V\\xE9rifiez aussi les r\\xE8gles de transfert et les filtres que vous n'avez pas cr\\xE9\\xE9s ; une man\\u0153uvre classique apr\\xE8s compromission consiste \\xE0 faire discr\\xE8tement suivre ou archiver automatiquement les notifications de s\\xE9curit\\xE9 pour que vous ne voyiez jamais les alertes.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"L'argent en second.\"}),\" Banques, courtiers, applications de paiement, tout ce qui conserve une carte enregistr\\xE9e. Changez les mots de passe, puis v\\xE9rifiez l'activit\\xE9 r\\xE9cente, puis appelez l'\\xE9tablissement si quelque chose vous semble anormal. Beaucoup de banques inscriront l'incident \\xE0 votre dossier et renforceront leur vigilance pendant une p\\xE9riode si vous les pr\\xE9venez.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Puis tout le reste.\"}),\" Comptes professionnels, stockage cloud, r\\xE9seaux sociaux, sites marchands, plateformes de d\\xE9veloppement, bureaux d'enregistrement de domaines, fournisseurs de VPS, tout ce qui poss\\xE8de une cl\\xE9 d'API. Les bureaux d'enregistrement de domaines et les consoles cloud m\\xE9ritent une place bien plus haute dans cette liste que celle que la plupart des gens leur accordent, car le contr\\xF4le d'un domaine ou d'un compte cloud constitue un levier durable sur tout ce qui en d\\xE9pend.\"]}),`\n`,(0,n.jsx)(e.p,{children:\"N'essayez pas de tout faire d'une traite. Traitez la messagerie et l'argent maintenant, ce soir. Traitez la longue tra\\xEEne sur les prochains jours, en vous appuyant sur la liste de votre gestionnaire de mots de passe.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"\\xE9tape-7--r\\xE9voquez-les-sessions-et-les-appareils-partout\",children:\"\\xC9tape 7 : r\\xE9voquez les sessions et les appareils partout\"}),`\n`,(0,n.jsx)(e.p,{children:\"Changer un mot de passe ne met pas toujours fin \\xE0 une session existante. Beaucoup de services maintiennent volontiers active une session d\\xE9j\\xE0 authentifi\\xE9e apr\\xE8s un changement de mot de passe, \\xE0 moins que vous n'y mettiez explicitement fin.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Pour chaque compte important, trouvez la page de s\\xE9curit\\xE9 qui liste les sessions actives, les appareils connect\\xE9s ou les applications li\\xE9es, et faites le m\\xE9nage. Google, Microsoft, Apple, GitHub, Slack, Discord et la plupart des grands services proposent tous cette fonction. R\\xE9voquez \\xE9galement les autorisations d'applications tierces que vous ne reconnaissez pas, car les jetons OAuth constituent un m\\xE9canisme de persistance qui survit aux changements de mot de passe.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Pendant que vous y \\xEAtes, v\\xE9rifiez les sessions de synchronisation de votre navigateur. Si votre profil de navigateur \\xE9tait synchronis\\xE9 avec une machine compromise, d\\xE9connecter toutes les sessions de synchronisation et r\\xE9tablir la synchronisation depuis un appareil sain vaut bien le d\\xE9sagr\\xE9ment.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"\\xE9tape-8--consid\\xE9rez-les-phrases-de-r\\xE9cup\\xE9ration-crypto-comme-compromises\",children:\"\\xC9tape 8 : consid\\xE9rez les phrases de r\\xE9cup\\xE9ration crypto comme compromises\"}),`\n`,(0,n.jsx)(e.p,{children:\"Si vous d\\xE9teniez des cryptomonnaies dans un portefeuille logiciel ou une extension de portefeuille pour navigateur sur ce Mac, c'est la partie dont l'\\xE9ch\\xE9ance se compte en minutes, pas en jours.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Jamf a signal\\xE9 les donn\\xE9es de portefeuilles de cryptomonnaies parmi les cibles de CrashStealer, y compris les extensions de portefeuille pour navigateur. Consid\\xE9rez que toute phrase de r\\xE9cup\\xE9ration, cl\\xE9 priv\\xE9e ou fichier de portefeuille pr\\xE9sent sur cette machine est d\\xE9sormais connu.\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"L'action \\xE0 mener n'est pas \\xAB changer le mot de passe du portefeuille \\xBB. Les mots de passe de portefeuille prot\\xE8gent un fichier local ; la phrase de r\\xE9cup\\xE9ration, \",(0,n.jsx)(e.em,{children:\"elle\"}),\", est le compte. Si la seed est sortie, les fonds sont accessibles depuis n'importe o\\xF9 dans le monde, quoi que vous fassiez sur votre Mac.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[\"Depuis un appareil sain, g\\xE9n\\xE9rez un \",(0,n.jsx)(e.strong,{children:\"nouveau\"}),\" portefeuille avec une \",(0,n.jsx)(e.strong,{children:\"nouvelle\"}),\" phrase de r\\xE9cup\\xE9ration, et transf\\xE9rez-y les fonds. Un portefeuille mat\\xE9riel dont la seed est g\\xE9n\\xE9r\\xE9e sur l'appareil lui-m\\xEAme est la bonne destination si vous en avez un ou pouvez vous en procurer un. Ne ressaisissez pas l'ancienne phrase de r\\xE9cup\\xE9ration sur un quelconque appareil pour la \\xAB s\\xE9curiser \\xBB ; il n'y a plus rien \\xE0 s\\xE9curiser. Ne la saisissez dans aucun outil ni site web proposant de v\\xE9rifier si elle a \\xE9t\\xE9 compromise, ce qui est en soi une arnaque r\\xE9pandue.\"]}),`\n`,(0,n.jsx)(e.p,{children:\"Si vous avez un jour stock\\xE9 une phrase de r\\xE9cup\\xE9ration dans une note, une capture d'\\xE9cran, un fichier texte ou votre gestionnaire de mots de passe sur ce Mac, la m\\xEAme r\\xE8gle s'applique. C'est un bon moment pour reconsid\\xE9rer ce choix de stockage \\xE0 l'avenir.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"\\xE9tape-9--activez-lauthentification-\\xE0-deux-facteurs-partout-o\\xF9-elle-est-disponible\",children:\"\\xC9tape 9 : activez l'authentification \\xE0 deux facteurs partout o\\xF9 elle est disponible\"}),`\n`,(0,n.jsx)(e.p,{children:\"Si vous utilisiez d\\xE9j\\xE0 la 2FA sur votre messagerie et vos comptes financiers, cet incident est nettement moins grave qu'il aurait pu l'\\xEAtre, car un mot de passe vol\\xE9 seul n'ouvre pas ces portes.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Si ce n'\\xE9tait pas le cas, activez-la maintenant, au fur et \\xE0 mesure que vous changez chaque mot de passe. Privil\\xE9giez une application d'authentification ou une cl\\xE9 de s\\xE9curit\\xE9 mat\\xE9rielle plut\\xF4t que le SMS. La 2FA par SMS vaut sensiblement mieux que rien et vaut sensiblement moins que les alternatives, car les attaques par SIM swap sont devenues une industrie mature.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Une r\\xE9serve propre \\xE0 ce sc\\xE9nario : si la sauvegarde de votre application d'authentification \\xE9tait stock\\xE9e dans un compte cloud dont le mot de passe se trouvait dans le trousseau compromis, r\\xE9enr\\xF4lez votre 2FA plut\\xF4t que de supposer que la configuration existante est s\\xFBre.\"}),`\n`,(0,n.jsx)(e.p,{children:(0,n.jsx)(e.img,{alt:\"Une personne d\\xE9roulant les \\xE9tapes de r\\xE9cup\\xE9ration de comptes sur un t\\xE9l\\xE9phone, \\xE0 c\\xF4t\\xE9 d'un Mac d\\xE9connect\\xE9\",src:\"/images/blog/fake-mac-crash-report-password-prompt-crashstealer-malware-protection-2026/content-2.webp\",width:\"1024\",height:\"541\"})}),`\n`,(0,n.jsx)(e.h3,{id:\"\\xE9tape-10--inspectez-maintenant-le-mac-lui-m\\xEAme\",children:\"\\xC9tape 10 : inspectez maintenant le Mac lui-m\\xEAme\"}),`\n`,(0,n.jsx)(e.p,{children:\"Une fois la rotation des identifiants lanc\\xE9e depuis un appareil sain, revenez \\xE0 la machine. Gardez-la hors r\\xE9seau pendant que vous l'examinez.\"}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"\\xC9l\\xE9ments d'ouverture de session et \\xE9l\\xE9ments d'arri\\xE8re-plan.\"}),\" Ouvrez System Settings > G\\xE9n\\xE9ral > \\xC9l\\xE9ments d'ouverture de session et extensions. Deux listes m\\xE9ritent d'\\xEAtre lues : les applications qui s'ouvrent \\xE0 l'ouverture de session, et les \\xE9l\\xE9ments d'arri\\xE8re-plan autoris\\xE9s \\xE0 s'ex\\xE9cuter. La seconde est la plus int\\xE9ressante, car elle nomme le d\\xE9veloppeur responsable de chaque agent d'arri\\xE8re-plan. Tout ce dont vous ne pouvez pas rendre compte m\\xE9rite investigation. Sachez que des logiciels l\\xE9gitimes inscrivent aussi des entr\\xE9es ici, ne supprimez donc pas tout par r\\xE9flexe ; cherchez le nom du d\\xE9veloppeur avant d'agir.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Profils de configuration.\"}),\" Ouvrez System Settings > G\\xE9n\\xE9ral > Gestion des appareils. Sur un Mac personnel non inscrit aupr\\xE8s d'un employeur ou d'un \\xE9tablissement scolaire, ce volet n'appara\\xEEt g\\xE9n\\xE9ralement pas du tout. S'il appara\\xEEt et liste un profil que vous n'avez pas install\\xE9, c'est une d\\xE9couverte s\\xE9rieuse. Les profils de configuration peuvent modifier les r\\xE9glages DNS, installer des certificats et imposer des r\\xE8gles, et ils sont un m\\xE9canisme de persistance de pr\\xE9dilection pr\\xE9cis\\xE9ment parce que la plupart des utilisateurs ne regardent jamais ici.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Le dossier Applications, tri\\xE9 par date.\"}),\" Dans le Finder, ouvrez Applications et passez en vue liste tri\\xE9e par date d'ajout ou date de modification. Tout ce qui est arriv\\xE9 aux alentours de l'incident m\\xE9rite examen. Faites de m\\xEAme pour votre dossier Applications au niveau utilisateur si vous en avez un.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Extensions de navigateur.\"}),\" Ouvrez la page des extensions de chaque navigateur et supprimez tout ce que vous n'avez pas install\\xE9 d\\xE9lib\\xE9r\\xE9ment. Portez une attention particuli\\xE8re aux extensions de portefeuille, directement concern\\xE9es ici, et \\xE0 tout ce qui dispose de larges autorisations de lecture des donn\\xE9es sur tous les sites.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"T\\xE9l\\xE9chargements r\\xE9cents.\"}),\" Parcourez votre dossier T\\xE9l\\xE9chargements \\xE0 la recherche de l'image disque ou du programme d'installation \\xE0 l'origine de tout ceci. Ne l'ouvrez pas de nouveau. Conna\\xEEtre le nom du fichier vous aidera \\xE0 reconna\\xEEtre le m\\xEAme app\\xE2t s'il se repr\\xE9sente.\"]}),`\n`,(0,n.jsx)(e.p,{children:\"Si vous trouvez quelque chose et le supprimez, n'en concluez pas que vous \\xEAtes tir\\xE9 d'affaire. Supprimer l'\\xE9l\\xE9ment que vous avez trouv\\xE9 ne vous apprend rien sur ceux que vous n'avez pas trouv\\xE9s.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"\\xE9tape-11--d\\xE9cidez-sil-faut-effacer-et-r\\xE9installer\",children:\"\\xC9tape 11 : d\\xE9cidez s'il faut effacer et r\\xE9installer\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"Voici la r\\xE9ponse honn\\xEAte, sans d\\xE9tour : \",(0,n.jsx)(e.strong,{children:\"si vous avez saisi votre mot de passe de session dans une fausse demande syst\\xE8me, effacer et r\\xE9installer est la bonne d\\xE9cision.\"})]}),`\n`,(0,n.jsx)(e.p,{children:\"Le raisonnement n'est pas que la suppression est impossible. C'est que la v\\xE9rification est impossible. Vous ne pouvez pas prouver une n\\xE9gation sur une machine qui a ex\\xE9cut\\xE9 un binaire natif inconnu ayant votre mot de passe administrateur en main. Un nettoyage manuel vous am\\xE8ne \\xE0 \\xAB je n'ai rien trouv\\xE9 d'autre \\xBB, ce qui n'est pas la m\\xEAme chose que \\xAB il n'y a rien d'autre \\xBB. Pour une machine qui abrite votre travail, votre messagerie et votre argent, cet \\xE9cart compte.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Les cas o\\xF9 vous pouvez raisonnablement faire l'impasse sur l'effacement : vous avez vu la demande, vous n'avez rien saisi, vous avez quitt\\xE9 l'application et l'avez supprim\\xE9e, et rien depuis ne s'est comport\\xE9 bizarrement. Les cas o\\xF9 vous devez absolument effacer : vous avez saisi le mot de passe ; ou vous ne parvenez pas \\xE0 reconstituer ce que vous avez install\\xE9 ; ou vous avez trouv\\xE9 des \\xE9l\\xE9ments de persistance que vous ne comprenez pas ; ou la machine a acc\\xE8s \\xE0 des choses dont vous \\xEAtes responsable pour le compte d'autres personnes.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Comment proc\\xE9der correctement sur un Mac moderne :\"}),`\n`,(0,n.jsxs)(e.ol,{children:[`\n`,(0,n.jsx)(e.li,{children:\"Terminez d'abord la rotation des identifiants, depuis l'appareil sain. N'effacez pas avant d'avoir repris le contr\\xF4le de vos comptes, car l'effacement ne r\\xE9pare pas vos comptes.\"}),`\n`,(0,n.jsxs)(e.li,{children:[\"Sauvegardez vos \",(0,n.jsx)(e.strong,{children:\"documents\"}),\", pas vos applications ni une image syst\\xE8me compl\\xE8te. Copiez les fichiers dont vous avez besoin sur un disque externe. Photos, documents, projets, code source, tout ce que vous avez produit.\"]}),`\n`,(0,n.jsx)(e.li,{children:\"Utilisez Effacer contenu et r\\xE9glages (System Settings > G\\xE9n\\xE9ral > Transf\\xE9rer ou r\\xE9initialiser) sur les Mac Apple silicon et T2, ou r\\xE9installez depuis macOS Recovery.\"}),`\n`,(0,n.jsxs)(e.li,{children:[\"Configurez le Mac comme neuf. \",(0,n.jsx)(e.strong,{children:\"Ne\"}),\" restaurez \",(0,n.jsx)(e.strong,{children:\"pas\"}),\" depuis une sauvegarde Time Machine r\\xE9alis\\xE9e apr\\xE8s l'infection, et n'utilisez pas l'Assistant de migration pour rapatrier applications et r\\xE9glages syst\\xE8me depuis l'\\xE9tat compromis. C'est ainsi que les gens se r\\xE9infectent et en concluent que le malware \\xE9tait ind\\xE9tectable.\"]}),`\n`,(0,n.jsx)(e.li,{children:\"R\\xE9installez les applications depuis le Mac App Store ou depuis le site officiel de chaque d\\xE9veloppeur, \\xE0 neuf.\"}),`\n`,(0,n.jsx)(e.li,{children:\"Recopiez vos documents depuis le disque externe.\"}),`\n`,(0,n.jsx)(e.li,{children:\"Reconnectez-vous et r\\xE9enr\\xF4lez l'authentification \\xE0 deux facteurs.\"}),`\n`]}),`\n`,(0,n.jsx)(e.p,{children:\"Oui, c'est une soir\\xE9e perdue. C'est une soir\\xE9e perdue qui se termine par une machine \\xE0 laquelle vous pouvez r\\xE9ellement faire confiance, ce qui vaut plus que la soir\\xE9e.\"}),`\n`,(0,n.jsx)(e.h2,{id:\"pourquoi-la-notarisation-na-sauv\\xE9-personne-ici\",children:\"Pourquoi la notarisation n'a sauv\\xE9 personne ici\"}),`\n`,(0,n.jsx)(e.p,{children:\"L'aspect le plus instructif de cette affaire, c'est que tout a fonctionn\\xE9 comme pr\\xE9vu, et que l'utilisateur s'est quand m\\xEAme fait avoir.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"ce-quest-r\\xE9ellement-la-notarisation\",children:\"Ce qu'est r\\xE9ellement la notarisation\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"Quand un d\\xE9veloppeur distribue une application Mac en dehors de l'App Store, il la soumet au service de notarisation d'Apple. Apple effectue une v\\xE9rification \",(0,n.jsx)(e.strong,{children:\"automatis\\xE9e\"}),\" : elle recherche des contenus malveillants connus, v\\xE9rifie la signature de code, contr\\xF4le que l'application est sign\\xE9e avec un Developer ID valide, et confirme un ensemble d'exigences de durcissement. Si l'application passe, Apple \\xE9met un ticket qui lui est agraf\\xE9.\"]}),`\n`,(0,n.jsx)(e.p,{children:\"Relisez cette liste et notez ce qui n'y figure pas. Il n'y a pas de relecteur humain. Il n'y a pas d'analyse comportementale de ce que fait l'application quand un utilisateur l'ex\\xE9cute. Il n'y a aucun jugement sur l'honn\\xEAtet\\xE9 de sa finalit\\xE9. La notarisation r\\xE9pond \\xE0 une question \\xE9troite : ce binaire contient-il quelque chose que nous reconnaissons d\\xE9j\\xE0 comme malveillant, et est-il correctement sign\\xE9 par un d\\xE9veloppeur identifiable ?\"}),`\n`,(0,n.jsx)(e.p,{children:\"Une application qui dessine une bo\\xEEte de mot de passe convaincante et transmet ce qu'elle capture ne contient pas de \\xAB contenu malveillant connu \\xBB au sens o\\xF9 l'entend l'analyseur, en particulier s'il s'agit d'un binaire natif in\\xE9dit. Elle passe sans encombre.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"ce-que-gatekeeper-promet-et-ne-promet-pas\",children:\"Ce que Gatekeeper promet et ne promet pas\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"Gatekeeper est la couche d'application des r\\xE8gles sur votre Mac. Quand vous ouvrez une application t\\xE9l\\xE9charg\\xE9e, Gatekeeper v\\xE9rifie qu'elle est sign\\xE9e et notaris\\xE9e, et que le ticket de notarisation est valide. Si c'est le cas, l'application s'ouvre avec un minimum de friction. Sinon, vous obtenez les avertissements et blocages que les utilisateurs de Mac connaissent bien, dont le message indiquant que l'application est endommag\\xE9e et ne peut pas \\xEAtre ouverte, que nous traitons dans notre \",(0,n.jsx)(e.a,{href:\"/blog/app-is-damaged-cant-be-opened-macos-tahoe-gatekeeper-quarantine-fix-2026\",children:\"guide de d\\xE9pannage Gatekeeper et quarantaine\"}),\".\"]}),`\n`,(0,n.jsx)(e.p,{children:\"Ce que Gatekeeper promet, c'est la tra\\xE7abilit\\xE9, pas la s\\xE9curit\\xE9. Il vous dit ceci : ce logiciel provient d'un d\\xE9veloppeur enregistr\\xE9 aupr\\xE8s d'Apple, qui a pay\\xE9 un Developer ID et dont le binaire a \\xE9t\\xE9 analys\\xE9. Cela signifie que s'il s'av\\xE8re malveillant, Apple sait quel certificat r\\xE9voquer. Cela ne signifie pas qu'Apple a \\xE9valu\\xE9 si l'application m\\xE9rite votre confiance.\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"L'\\xE9cart entre ces deux choses est pr\\xE9cis\\xE9ment l'espace o\\xF9 vit toute cette cat\\xE9gorie d'attaques. Et ce n'est pas nouveau : nous avons d\\xE9crit le m\\xEAme sch\\xE9ma en d\\xE9cembre 2025 lorsque \",(0,n.jsx)(e.a,{href:\"/blog/macsync-stealer-apple-notarized-malware-security-guide-2025\",children:\"MacSync Stealer s'est servi d'une notarisation Apple valide pour contourner Gatekeeper\"}),\". La le\\xE7on n'a pas port\\xE9, parce que \\xAB notaris\\xE9 \\xBB se lit encore, pour la plupart des gens, comme \\xAB approuv\\xE9 \\xBB.\"]}),`\n`,(0,n.jsx)(e.h3,{id:\"la-r\\xE9vocation-est-un-nettoyage-pas-une-protection\",children:\"La r\\xE9vocation est un nettoyage, pas une protection\"}),`\n`,(0,n.jsx)(e.p,{children:\"Apple a r\\xE9voqu\\xE9 le certificat impliqu\\xE9 dans CrashStealer. C'est la bonne r\\xE9ponse et elle produit un effet r\\xE9el : sur les Mac qui v\\xE9rifient la r\\xE9vocation, l'application ne se lancera plus, et le m\\xEAme certificat ne pourra pas servir \\xE0 signer la version suivante.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Mais la r\\xE9vocation intervient apr\\xE8s l'analyse, qui intervient apr\\xE8s les infections. Tous ceux qui ont \\xE9t\\xE9 touch\\xE9s pendant la fen\\xEAtre entre le d\\xE9ploiement de d\\xE9but juillet et la r\\xE9vocation n'en ont tir\\xE9 aucun b\\xE9n\\xE9fice. La r\\xE9vocation de certificat est la m\\xE9moire du syst\\xE8me immunitaire, pas sa barri\\xE8re. Par ailleurs, obtenir un nouveau Developer ID reste un probl\\xE8me soluble pour un op\\xE9rateur motiv\\xE9, ce qui explique que le m\\xEAme sch\\xE9ma se reproduise sans cesse avec d'autres certificats.\"}),`\n`,(0,n.jsx)(e.p,{children:\"La conclusion pratique pour vous : utilisez Gatekeeper, gardez-le activ\\xE9, ne le d\\xE9sactivez jamais pour ex\\xE9cuter un logiciel dont on vous a dit de le d\\xE9sactiver. Et ne faites pas de lui la raison pour laquelle vous faites confiance \\xE0 une application. La question \\xAB est-ce sign\\xE9 ? \\xBB est bien moins importante que \\xAB ai-je obtenu ceci aupr\\xE8s du d\\xE9veloppeur, ou depuis un r\\xE9sultat de recherche ? \\xBB.\"}),`\n`,(0,n.jsx)(e.h2,{id:\"do\\xF9-viennent-les-programmes-dinstallation-de-ce-genre\",children:\"D'o\\xF9 viennent les programmes d'installation de ce genre\"}),`\n`,(0,n.jsx)(e.p,{children:\"Dans la pratique, les images disque malveillantes parviennent aux utilisateurs par un petit nombre de canaux, et tous exploitent le m\\xEAme instant : vous avez d\\xE9cid\\xE9 que vous vouliez un logiciel et vous cherchez o\\xF9 le t\\xE9l\\xE9charger.\"}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"La publicit\\xE9 dans les moteurs de recherche.\"}),\" Quelqu'un cherche une application connue et clique sur le premier r\\xE9sultat, qui est une annonce payante pointant vers un site sosie. Le texte de l'annonce est juste, la page d'atterrissage est un bon clone, et le bouton de t\\xE9l\\xE9chargement fonctionne. C'est de loin le canal au plus fort volume, et il fonctionne parce que le haut d'une page de r\\xE9sultats de recherche inspire l'autorit\\xE9.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Les sites de t\\xE9l\\xE9chargement sosies.\"}),\" Des domaines \\xE0 un caract\\xE8re pr\\xE8s, ou qui ajoutent un mot plausible, ou qui utilisent une autre extension. Et aussi tout l'\\xE9cosyst\\xE8me des \\xAB portails de t\\xE9l\\xE9chargement \\xBB qui enveloppent de vrais logiciels dans leurs propres programmes d'installation. M\\xEAme quand ces sites ne distribuent pas de malware, ils distribuent des programmes d'installation modifi\\xE9s, ce qui est une habitude dont vous ne voulez pas.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Les liens diffus\\xE9s dans les messageries et les forums.\"}),\" Un serveur Discord, un groupe Telegram, un fil Reddit, un commentaire sur un forum d'assistance. Quelqu'un publie obligeamment un miroir. Parfois c'est une vraie personne serviable et parfois non, et vous ne pouvez pas le d\\xE9terminer \\xE0 partir du message.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Les versions crack\\xE9es et \\xAB gratuites \\xBB de logiciels payants.\"}),\" Celui-ci se passe d'explication et reste l'un des moyens les plus fiables de se retrouver avec un stealer.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[\"La d\\xE9fense est la m\\xEAme dans les quatre cas : d\\xE9cidez d'o\\xF9 vous allez t\\xE9l\\xE9charger \",(0,n.jsx)(e.em,{children:\"avant\"}),\" de lancer votre recherche. Rendez-vous sur le vrai domaine du d\\xE9veloppeur, que vous pouvez g\\xE9n\\xE9ralement v\\xE9rifier via l'application elle-m\\xEAme, une installation existante, un signet, la fiche App Store du d\\xE9veloppeur ou son compte social v\\xE9rifi\\xE9. Puis t\\xE9l\\xE9chargez depuis l\\xE0. Ne laissez jamais la page de r\\xE9sultats de recherche choisir la source \\xE0 votre place.\"]}),`\n`,(0,n.jsx)(e.h2,{id:\"une-pr\\xE9vention-concr\\xE8te-qui-change-vraiment-les-choses\",children:\"Une pr\\xE9vention concr\\xE8te qui change vraiment les choses\"}),`\n`,(0,n.jsx)(e.p,{children:\"Une liste courte, \\xE0 peu pr\\xE8s par ordre d'impact.\"}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Installez depuis le Mac App Store quand l'application y est disponible.\"}),\" Les applications de l'App Store sont ex\\xE9cut\\xE9es en bac \\xE0 sable et passent en revue, ce qui constitue un niveau d'exigence r\\xE9ellement diff\\xE9rent de la notarisation. Ce n'est pas parfait, mais la surface d'attaque est bien plus \\xE9troite.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Quand l'application n'est pas sur l'App Store, allez sur le site v\\xE9rifi\\xE9 du d\\xE9veloppeur.\"}),\" Tapez le domaine, utilisez un signet, ou naviguez depuis la fiche App Store du d\\xE9veloppeur. Ne cliquez pas sur une annonce.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Lisez le nom de l'image disque avant d'installer.\"}),\" Si vous avez cherch\\xE9 un produit et mont\\xE9 un DMG portant un nom sans rapport, arr\\xEAtez-vous. Cette seule habitude aurait arr\\xEAt\\xE9 CrashStealer d\\xE8s la porte d'entr\\xE9e.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Maintenez macOS \\xE0 jour.\"}),\" Les signatures XProtect et les donn\\xE9es de r\\xE9vocation sont diffus\\xE9es par le m\\xE9canisme de mise \\xE0 jour, et elles arrivent que vous installiez ou non la mise \\xE0 jour compl\\xE8te du syst\\xE8me, mais rester \\xE0 jour maintient chaque couche dans un \\xE9tat pris en charge. Notre \",(0,n.jsx)(e.a,{href:\"/blog/macos-tahoe-26-6-released-complete-update-guide-security-fixes-2026\",children:\"guide de mise \\xE0 jour macOS Tahoe 26.6\"}),\" d\\xE9taille ce que contient la version actuelle et comment l'installer proprement.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Utilisez un gestionnaire de mots de passe avec un mot de passe ma\\xEEtre qui n'existe nulle part ailleurs.\"}),\" Distinct du mot de passe de session de votre Mac, distinct du mot de passe de votre Apple Account, et pas une variante de l'un ou l'autre. C'est ce qui limite le rayon d'impact quand un identifiant tombe.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Gardez le login Keychain prot\\xE9g\\xE9 par un vrai mot de passe.\"}),\" N'affaiblissez pas votre mot de passe de compte parce que le taper vous agace, et ne d\\xE9sactivez pas les protections du trousseau. Touch ID existe pr\\xE9cis\\xE9ment pour qu'un mot de passe robuste ne soit pas un imp\\xF4t quotidien.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Activez FileVault, et faites des sauvegardes.\"}),\" FileVault prot\\xE8ge les donn\\xE9es au repos si la machine est perdue. Les sauvegardes sont ce qui transforme \\xAB effacer et r\\xE9installer \\xBB en un d\\xE9sagr\\xE9ment de deux heures plut\\xF4t qu'en catastrophe. Les deux sont trait\\xE9s plus en d\\xE9tail dans notre \",(0,n.jsx)(e.a,{href:\"/blog/mac-security-privacy-guide-2026\",children:\"guide de s\\xE9curit\\xE9 et de confidentialit\\xE9 pour Mac\"}),\".\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Activez l'authentification \\xE0 deux facteurs avant d'en avoir besoin.\"}),\" C'est le contr\\xF4le qui rend un mot de passe vol\\xE9 survivable.\"]}),`\n`,(0,n.jsx)(e.h2,{id:\"un-antivirus-sert-il-vraiment-\\xE0-quelque-chose-sur-un-mac-\",children:\"Un antivirus sert-il vraiment \\xE0 quelque chose sur un Mac ?\"}),`\n`,(0,n.jsx)(e.p,{children:\"Une r\\xE9ponse honn\\xEAte, sans vous orienter vers un produit.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Les analyseurs de malwares sur macOS sont utiles pour une t\\xE2che pr\\xE9cise : reconna\\xEEtre ce qui a d\\xE9j\\xE0 \\xE9t\\xE9 analys\\xE9 et catalogu\\xE9. Si une famille de stealers connue atterrit sur votre machine, un analyseur maintenu \\xE0 jour la d\\xE9tectera tr\\xE8s probablement, et ce n'est pas rien, car la plupart des infections ne sont pas in\\xE9dites. Les analyseurs sont aussi r\\xE9ellement utiles apr\\xE8s un incident, comme second avis quand vous essayez de d\\xE9terminer ce qui se trouve sur une machine.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Ce qu'ils r\\xE9ussissent moins bien, c'est pr\\xE9cis\\xE9ment le cas d\\xE9crit dans cet article. CrashStealer \\xE9tait un binaire natif issu d'un compte d\\xE9veloppeur avec un certificat valide, et son acte malveillant central consistait \\xE0 afficher une fen\\xEAtre et \\xE0 lire ce que l'utilisateur tapait. Il existe un intervalle entre l'apparition d'une nouvelle famille et le rattrapage de la d\\xE9tection, et pendant cet intervalle les outils fond\\xE9s sur les signatures n'ont rien sur quoi s'appuyer. La d\\xE9tection comportementale aide, et elle n'est pas magique.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Il y a aussi le contre-argument honn\\xEAte que macOS embarque d\\xE9j\\xE0 des protections en couches : Gatekeeper, XProtect, XProtect Remediator, les v\\xE9rifications de notarisation, System Integrity Protection, et le bac \\xE0 sable applicatif pour les logiciels de l'App Store. Pour un utilisateur prudent ayant de bonnes habitudes de t\\xE9l\\xE9chargement, un antivirus tiers apporte moins que sur d'autres plateformes.\"}),`\n`,(0,n.jsx)(e.p,{children:\"L\\xE0 o\\xF9 cela a clairement du sens : si vous partagez le Mac avec des personnes moins prudentes, si vous manipulez les donn\\xE9es d'autrui, si vous travaillez dans un environnement soumis \\xE0 des exigences de conformit\\xE9, ou si vous avez d\\xE9j\\xE0 subi un incident et souhaitez un deuxi\\xE8me regard. L\\xE0 o\\xF9 cela en a moins : en remplacement des habitudes d\\xE9crites dans la section pr\\xE9c\\xE9dente. Aucun analyseur ne vous prot\\xE8ge de la d\\xE9cision de saisir votre mot de passe dans une fen\\xEAtre.\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"Si vous voulez la comparaison d\\xE9taill\\xE9e, notre \",(0,n.jsx)(e.a,{href:\"/blog/best-antivirus-for-mac-2026-complete-security-guide\",children:\"guide des antivirus pour Mac en 2026\"}),\" passe les compromis en revue en profondeur.\"]}),`\n`,(0,n.jsx)(e.h2,{id:\"r\\xE9solution-des-probl\\xE8mes-courants\",children:\"R\\xE9solution des probl\\xE8mes courants\"}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Probl\\xE8me :\"}),` une demande de mot de passe est apparue, j'ai cliqu\\xE9 sur Annuler et je n'ai rien saisi. Est-ce que tout va bien ?\n`,(0,n.jsx)(e.strong,{children:\"Solution :\"}),\" presque certainement oui, en ce qui concerne le mot de passe lui-m\\xEAme. Cliquer sur Annuler ne divulgue rien. Mais l'application qui a dessin\\xE9 la demande est toujours sur votre Mac, et elle tourne toujours. Quittez-la depuis Force Quit, puis retrouvez-la et supprimez-la, puis v\\xE9rifiez les \\xC9l\\xE9ments d'ouverture de session et extensions ainsi que la Gestion des appareils pour tout ce qu'elle aurait laiss\\xE9 derri\\xE8re elle. Surveillez le retour de la demande, qui signifierait que quelque chose persiste encore. Si vous ne trouvez pas la source, ou si la demande r\\xE9appara\\xEEt apr\\xE8s un red\\xE9marrage, traitez cela comme une infection active et d\\xE9roulez la proc\\xE9dure \\xE0 partir de l'\\xE9tape 10.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Probl\\xE8me :\"}),` je n'arrive vraiment pas \\xE0 d\\xE9terminer si une demande est authentique, et je dois autoriser une action l\\xE9gitime.\n`,(0,n.jsx)(e.strong,{children:\"Solution :\"}),\" \\xE9cartez compl\\xE8tement la demande, puis cr\\xE9ez le contexte vous-m\\xEAme. Quittez l'application. Ouvrez directement System Settings ou le Finder et initiez de l\\xE0 l'action que vous vouliez faire. Si une demande appara\\xEEt comme r\\xE9sultat imm\\xE9diat d'un clic effectu\\xE9 dans un endroit de confiance, elle a bien plus de chances d'\\xEAtre authentique. Au moment de vous authentifier, utilisez Touch ID s'il est propos\\xE9, ainsi aucun mot de passe n'est tap\\xE9 quoi qu'il arrive. Si la demande continue d'appara\\xEEtre sans que vous n'initiiez quoi que ce soit, cette ambigu\\xEFt\\xE9 est elle-m\\xEAme la r\\xE9ponse : c'est un faux.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Probl\\xE8me :\"}),` j'ai d\\xE9j\\xE0 saisi mon mot de passe. Que faire dans les soixante premi\\xE8res secondes ?\n`,(0,n.jsx)(e.strong,{children:\"Solution :\"}),\" coupez le Wi-Fi ou d\\xE9branchez l'Ethernet. Cessez d'utiliser ce Mac pour tout ce qui touche \\xE0 des identifiants. Prenez votre t\\xE9l\\xE9phone ou un autre ordinateur et changez le mot de passe de votre Apple Account, puis le mot de passe ma\\xEEtre de votre gestionnaire de mots de passe. Puis la messagerie, puis les comptes financiers. Si vous d\\xE9teniez des cryptomonnaies sur ce Mac, d\\xE9placez les fonds depuis un appareil sain avant toute autre chose, car l'exposition d'une phrase de r\\xE9cup\\xE9ration est irr\\xE9versible. La s\\xE9quence ordonn\\xE9e compl\\xE8te figure dans la section proc\\xE9dure ci-dessus ; d\\xE9roulez-la plut\\xF4t que d'improviser.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Probl\\xE8me :\"}),` j'ai trouv\\xE9 dans Force Quit ou dans mon dossier Applications une application que je ne reconnais pas.\n`,(0,n.jsx)(e.strong,{children:\"Solution :\"}),\" ne l'ouvrez pas. Cherchez son nom exact depuis un autre appareil avant d'agir, car quantit\\xE9 d'utilitaires l\\xE9gitimes portent des noms bizarres. Si elle vous est inconnue et est apparue aux alentours de l'incident, quittez-la, placez-la dans la corbeille, videz la corbeille, puis v\\xE9rifiez les \\xC9l\\xE9ments d'ouverture de session et extensions pour un \\xE9l\\xE9ment d'arri\\xE8re-plan correspondant et supprimez-le \\xE9galement. Trouver un composant ne signifie pas les avoir tous trouv\\xE9s, poursuivez donc les \\xE9tapes d'inspection et envisagez la d\\xE9cision d'effacement.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Probl\\xE8me :\"}),` System Settings affiche un profil de configuration que je n'ai jamais install\\xE9.\n`,(0,n.jsx)(e.strong,{children:\"Solution :\"}),\" sur un Mac personnel non g\\xE9r\\xE9 par un employeur ou un \\xE9tablissement scolaire, le volet Gestion des appareils n'existe g\\xE9n\\xE9ralement pas du tout. S'il existe et liste un profil inconnu, c'est un indicateur fort de compromission, et les profils peuvent rediriger le DNS ou installer des certificats permettant d'intercepter le trafic. Supprimez-le depuis System Settings > G\\xE9n\\xE9ral > Gestion des appareils, puis v\\xE9rifiez vos r\\xE9glages r\\xE9seau \\xE0 la recherche de serveurs DNS modifi\\xE9s. Compte tenu de ce qu'un profil peut faire, cette d\\xE9couverte plaide fortement pour un effacement complet suivi d'une r\\xE9installation.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Probl\\xE8me :\"}),` mon Mac r\\xE9clame maintenant en permanence le mot de passe du login Keychain et rien de ce que je tape ne fonctionne.\n`,(0,n.jsx)(e.strong,{children:\"Solution :\"}),\" cela peut arriver pour des raisons totalement anodines, g\\xE9n\\xE9ralement quand votre mot de passe de compte et votre mot de passe de trousseau se sont d\\xE9synchronis\\xE9s apr\\xE8s une r\\xE9initialisation. Cela peut aussi faire suite \\xE0 un incident de s\\xE9curit\\xE9. Si vous avez la moindre raison de soup\\xE7onner un malware, faites d'abord tourner vos identifiants depuis un appareil sain, puis d\\xE9pannez. Si vous \\xEAtes certain que c'est sans rapport avec un incident, notre guide sur \",(0,n.jsx)(e.a,{href:\"/blog/mac-keeps-asking-login-keychain-password-macos-tahoe-fix-2026\",children:\"un Mac qui r\\xE9clame en boucle le mot de passe du login Keychain\"}),\" explique comment resynchroniser ou r\\xE9initialiser le trousseau en toute s\\xE9curit\\xE9.\"]}),`\n`,(0,n.jsx)(e.h2,{id:\"faq\",children:\"FAQ\"}),`\n`,(0,n.jsx)(e.h3,{id:\"le-v\\xE9ritable-rapporteur-de-plantage-de-macos-demande-t-il-parfois-mon-mot-de-passe-\",children:\"Le v\\xE9ritable rapporteur de plantage de macOS demande-t-il parfois mon mot de passe ?\"}),`\n`,(0,n.jsx)(e.p,{children:\"Non. Quand une application plante, macOS propose de la rouvrir, d'ignorer, ou d'envoyer un rapport \\xE0 Apple. Envoyer un journal de plantage ne requiert aucun privil\\xE8ge administrateur, il n'existe donc aucune configuration dans laquelle le v\\xE9ritable rapporteur de plantage vous demande de vous authentifier. Une fen\\xEAtre de rapport de plantage r\\xE9clamant votre mot de passe de session est fausse, sans exception.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"comment-un-malware-a-t-il-pu-passer-gatekeeper-si-mon-mac-est-\\xE0-jour-\",children:\"Comment un malware a-t-il pu passer Gatekeeper si mon Mac est \\xE0 jour ?\"}),`\n`,(0,n.jsx)(e.p,{children:\"Jamf Threat Labs a rapport\\xE9 que l'application de distribution \\xE9tait sign\\xE9e et notaris\\xE9e avec un Apple Developer ID valide. La notarisation est une analyse automatis\\xE9e \\xE0 la recherche de contenus malveillants connus et de probl\\xE8mes de signature, pas une revue de s\\xE9curit\\xE9 humaine, un binaire natif in\\xE9dit peut donc passer. Gatekeeper a honor\\xE9 un ticket valide. Apple a depuis r\\xE9voqu\\xE9 le certificat.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"si-jai-saisi-mon-mot-de-passe-seul-ce-mot-de-passe-est-il-compromis-\",children:\"Si j'ai saisi mon mot de passe, seul ce mot de passe est-il compromis ?\"}),`\n`,(0,n.jsx)(e.p,{children:\"Non, et c'est le point essentiel. Jamf a rapport\\xE9 que CrashStealer v\\xE9rifie le mot de passe localement et, s'il est correct, peut d\\xE9verrouiller le login Keychain. Votre trousseau contient des mots de passe Wi-Fi, des identifiants d'applications, des certificats et des connexions enregistr\\xE9es. Consid\\xE9rez comme expos\\xE9 chaque identifiant stock\\xE9 sur ce Mac, pas seulement celui que vous avez tap\\xE9.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"effacer-mon-mac-r\\xE9soudra-t-il-le-probl\\xE8me-\\xE0-lui-seul-\",children:\"Effacer mon Mac r\\xE9soudra-t-il le probl\\xE8me \\xE0 lui seul ?\"}),`\n`,(0,n.jsx)(e.p,{children:\"Non. L'effacement retire le malware de la machine mais ne change rien aux identifiants qui en sont d\\xE9j\\xE0 partis. Faites d'abord tourner vos mots de passe depuis un appareil sain, en commen\\xE7ant par votre Apple Account et votre gestionnaire de mots de passe, puis effacez. \\xC9vitez \\xE9galement de restaurer depuis une sauvegarde post\\xE9rieure \\xE0 l'infection ou de migrer les applications, car cela peut r\\xE9introduire le probl\\xE8me.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"puis-je-reconna\\xEEtre-une-fausse-demande-\\xE0-son-apparence-\",children:\"Puis-je reconna\\xEEtre une fausse demande \\xE0 son apparence ?\"}),`\n`,(0,n.jsx)(e.p,{children:\"Parfois, pas toujours. Essayez de la faire glisser : une demande qui ne peut pas sortir de la fen\\xEAtre d'une autre application est assur\\xE9ment fausse. V\\xE9rifiez la barre des menus et Force Quit pour voir quelle application demande. Mais un faux natif bien construit peut passer tous les tests visuels, et c'est pourquoi la r\\xE8gle fiable est le contexte, pas l'apparence. Les demandes non sollicit\\xE9es sont hostiles.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"dois-je-installer-un-antivirus-sur-mon-mac-apr\\xE8s-cela-\",children:\"Dois-je installer un antivirus sur mon Mac apr\\xE8s cela ?\"}),`\n`,(0,n.jsx)(e.p,{children:\"Cela peut aider, surtout pour d\\xE9tecter les familles de malwares connues et comme second avis apr\\xE8s un incident. C'est le plus faible face exactement \\xE0 ce sc\\xE9nario : un binaire sign\\xE9 in\\xE9dit dont l'attaque est une fen\\xEAtre convaincante. De bonnes habitudes de t\\xE9l\\xE9chargement, un mot de passe ma\\xEEtre de gestionnaire de mots de passe distinct et l'authentification \\xE0 deux facteurs vous prot\\xE8gent davantage que n'importe quel analyseur.\"}),`\n`,(0,n.jsx)(e.h2,{id:\"conclusion\",children:\"Conclusion\"}),`\n`,(0,n.jsx)(e.p,{children:\"CrashStealer est une version bien ex\\xE9cut\\xE9e d'une vieille id\\xE9e. Jamf Threat Labs a rapport\\xE9 un infostealer natif en C++, livr\\xE9 dans une image disque nomm\\xE9e Werkbit Setup, qui installe une application se faisant appeler CrashReporter.app, affiche une demande de mot de passe d\\xE9guis\\xE9e en bo\\xEEte de dialogue syst\\xE8me, v\\xE9rifie ce que vous tapez, et utilise un mot de passe correct pour d\\xE9verrouiller votre login Keychain et atteindre les identifiants de navigateur, les donn\\xE9es de gestionnaires de mots de passe et les portefeuilles de cryptomonnaies. L'application \\xE9tait sign\\xE9e et notaris\\xE9e avec un Apple Developer ID valide, Gatekeeper l'a donc laiss\\xE9e passer, et Apple a r\\xE9voqu\\xE9 le certificat apr\\xE8s coup.\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"Retirez les d\\xE9tails et il reste un unique point de d\\xE9cision : une fen\\xEAtre a demand\\xE9 votre mot de passe, et vous avez d\\xE9cid\\xE9 de le donner ou non. Cette d\\xE9cision n'est pas technique. C'est une habitude, et les habitudes se construisent. Celle qui vaut la peine d'\\xEAtre construite est assez courte pour qu'on s'en souvienne \\xE0 1 h du matin : \",(0,n.jsx)(e.strong,{children:\"si vous n'avez rien fait qui exigerait un mot de passe, n'en saisissez aucun.\"}),\" Annulez, d\\xE9couvrez quelle application demande, et relancez l'action vous-m\\xEAme depuis un endroit de confiance. Utilisez Touch ID quand il est propos\\xE9, car une empreinte digitale ne peut pas \\xEAtre vol\\xE9e comme une cha\\xEEne de caract\\xE8res tap\\xE9e au clavier.\"]}),`\n`,(0,n.jsx)(e.p,{children:\"Si vous lisez ceci apr\\xE8s avoir d\\xE9j\\xE0 saisi votre mot de passe, la situation est r\\xE9cup\\xE9rable et c'est l'ordre qui compte. D\\xE9connectez le Mac. Passez sur un autre appareil. L'Apple Account d'abord, le gestionnaire de mots de passe ensuite, la messagerie en troisi\\xE8me, l'argent en quatri\\xE8me. D\\xE9placez imm\\xE9diatement vos cryptomonnaies depuis un appareil sain et consid\\xE9rez la phrase de r\\xE9cup\\xE9ration comme grill\\xE9e. R\\xE9voquez les sessions, v\\xE9rifiez les \\xE9l\\xE9ments d'ouverture de session et les profils de configuration, puis effacez et configurez comme neuf plut\\xF4t que de restaurer l'\\xE9tat compromis. Descendez la liste plut\\xF4t que d'essayer de tout r\\xE9soudre d'un coup.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Prenez quinze minutes cette semaine pour faire la partie pr\\xE9ventive pendant que rien ne br\\xFBle : v\\xE9rifiez que l'authentification \\xE0 deux facteurs est activ\\xE9e sur votre messagerie et vos comptes financiers, assurez-vous que le mot de passe ma\\xEEtre de votre gestionnaire de mots de passe n'existe nulle part ailleurs, v\\xE9rifiez que vous disposez d'une sauvegarde fonctionnelle, et contr\\xF4lez que macOS est \\xE0 jour. Puis mettez cette page en signet. La prochaine fausse demande aura une autre allure, et les r\\xE8gles seront les m\\xEAmes.\"})]})}function d(s={}){let{wrapper:e}=s.components||{};return e?(0,n.jsx)(e,{...s,children:(0,n.jsx)(c,{...s})}):c(s)}return b(x);})();\n;return Component;","toc":[{"title":"Points clés à retenir","url":"#points-clés-à-retenir","depth":2},{"title":"Ce que Jamf Threat Labs a réellement rapporté","url":"#ce-que-jamf-threat-labs-a-réellement-rapporté","depth":2},{"title":"La livraison : une image disque qui n'est pas celle que vous cherchiez","url":"#la-livraison--une-image-disque-qui-nest-pas-celle-que-vous-cherchiez","depth":3},{"title":"L'appât : une application qui s'appelle CrashReporter","url":"#lappât--une-application-qui-sappelle-crashreporter","depth":3},{"title":"Ce qui se passe quand vous tapez","url":"#ce-qui-se-passe-quand-vous-tapez","depth":3},{"title":"Deux points techniques à connaître","url":"#deux-points-techniques-à-connaître","depth":3},{"title":"La chronologie","url":"#la-chronologie","depth":3},{"title":"L'idée centrale : une demande de mot de passe est une prétention, pas une preuve","url":"#lidée-centrale--une-demande-de-mot-de-passe-est-une-prétention-pas-une-preuve","depth":2},{"title":"Analyse visuelle : vraie demande macOS contre faux dessiné par une application","url":"#analyse-visuelle--vraie-demande-macos-contre-faux-dessiné-par-une-application","depth":2},{"title":"1. Avez-vous fait quelque chose qui nécessiterait une autorisation ?","url":"#1-avez-vous-fait-quelque-chose-qui-nécessiterait-une-autorisation-","depth":3},{"title":"2. Ce qui vous demande a-t-il la moindre légitimité à le faire ?","url":"#2-ce-qui-vous-demande-a-t-il-la-moindre-légitimité-à-le-faire-","depth":3},{"title":"3. Découvrez quelle application demande réellement","url":"#3-découvrez-quelle-application-demande-réellement","depth":3},{"title":"4. Le test du glissement","url":"#4-le-test-du-glissement","depth":3},{"title":"5. Utilisez Touch ID plutôt que le clavier","url":"#5-utilisez-touch-id-plutôt-que-le-clavier","depth":3},{"title":"6. Échap, puis observez ce qui se passe","url":"#6-échap-puis-observez-ce-qui-se-passe","depth":3},{"title":"7. Lisez le texte, mais accordez-lui peu de poids","url":"#7-lisez-le-texte-mais-accordez-lui-peu-de-poids","depth":3},{"title":"Soyez lucide sur les limites de l'inspection visuelle","url":"#soyez-lucide-sur-les-limites-de-linspection-visuelle","depth":3},{"title":"Les règles de comportement qui ne dépendent pas du savoir-faire de l'attaquant","url":"#les-règles-de-comportement-qui-ne-dépendent-pas-du-savoir-faire-de-lattaquant","depth":2},{"title":"Si vous l'avez déjà saisi : la procédure à suivre après exposition","url":"#si-vous-lavez-déjà-saisi--la-procédure-à-suivre-après-exposition","depth":2},{"title":"Étape 1 : déconnectez le Mac du réseau. Tout de suite.","url":"#étape-1--déconnectez-le-mac-du-réseau-tout-de-suite","depth":3},{"title":"Étape 2 : cessez de saisir des identifiants sur cette machine","url":"#étape-2--cessez-de-saisir-des-identifiants-sur-cette-machine","depth":3},{"title":"Étape 3 : passez sur un autre appareil, de confiance","url":"#étape-3--passez-sur-un-autre-appareil-de-confiance","depth":3},{"title":"Étape 4 : changez d'abord le mot de passe de votre Apple Account","url":"#étape-4--changez-dabord-le-mot-de-passe-de-votre-apple-account","depth":3},{"title":"Étape 5 : changez ensuite le mot de passe maître de votre gestionnaire de mots de passe","url":"#étape-5--changez-ensuite-le-mot-de-passe-maître-de-votre-gestionnaire-de-mots-de-passe","depth":3},{"title":"Étape 6 : faites tourner la messagerie, puis l'argent, puis tout le reste","url":"#étape-6--faites-tourner-la-messagerie-puis-largent-puis-tout-le-reste","depth":3},{"title":"Étape 7 : révoquez les sessions et les appareils partout","url":"#étape-7--révoquez-les-sessions-et-les-appareils-partout","depth":3},{"title":"Étape 8 : considérez les phrases de récupération crypto comme compromises","url":"#étape-8--considérez-les-phrases-de-récupération-crypto-comme-compromises","depth":3},{"title":"Étape 9 : activez l'authentification à deux facteurs partout où elle est disponible","url":"#étape-9--activez-lauthentification-à-deux-facteurs-partout-où-elle-est-disponible","depth":3},{"title":"Étape 10 : inspectez maintenant le Mac lui-même","url":"#étape-10--inspectez-maintenant-le-mac-lui-même","depth":3},{"title":"Étape 11 : décidez s'il faut effacer et réinstaller","url":"#étape-11--décidez-sil-faut-effacer-et-réinstaller","depth":3},{"title":"Pourquoi la notarisation n'a sauvé personne ici","url":"#pourquoi-la-notarisation-na-sauvé-personne-ici","depth":2},{"title":"Ce qu'est réellement la notarisation","url":"#ce-quest-réellement-la-notarisation","depth":3},{"title":"Ce que Gatekeeper promet et ne promet pas","url":"#ce-que-gatekeeper-promet-et-ne-promet-pas","depth":3},{"title":"La révocation est un nettoyage, pas une protection","url":"#la-révocation-est-un-nettoyage-pas-une-protection","depth":3},{"title":"D'où viennent les programmes d'installation de ce genre","url":"#doù-viennent-les-programmes-dinstallation-de-ce-genre","depth":2},{"title":"Une prévention concrète qui change vraiment les choses","url":"#une-prévention-concrète-qui-change-vraiment-les-choses","depth":2},{"title":"Un antivirus sert-il vraiment à quelque chose sur un Mac ?","url":"#un-antivirus-sert-il-vraiment-à-quelque-chose-sur-un-mac-","depth":2},{"title":"Résolution des problèmes courants","url":"#résolution-des-problèmes-courants","depth":2},{"title":"FAQ","url":"#faq","depth":2},{"title":"Le véritable rapporteur de plantage de macOS demande-t-il parfois mon mot de passe ?","url":"#le-véritable-rapporteur-de-plantage-de-macos-demande-t-il-parfois-mon-mot-de-passe-","depth":3},{"title":"Comment un malware a-t-il pu passer Gatekeeper si mon Mac est à jour ?","url":"#comment-un-malware-a-t-il-pu-passer-gatekeeper-si-mon-mac-est-à-jour-","depth":3},{"title":"Si j'ai saisi mon mot de passe, seul ce mot de passe est-il compromis ?","url":"#si-jai-saisi-mon-mot-de-passe-seul-ce-mot-de-passe-est-il-compromis-","depth":3},{"title":"Effacer mon Mac résoudra-t-il le problème à lui seul ?","url":"#effacer-mon-mac-résoudra-t-il-le-problème-à-lui-seul-","depth":3},{"title":"Puis-je reconnaître une fausse demande à son apparence ?","url":"#puis-je-reconnaître-une-fausse-demande-à-son-apparence-","depth":3},{"title":"Dois-je installer un antivirus sur mon Mac après cela ?","url":"#dois-je-installer-un-antivirus-sur-mon-mac-après-cela-","depth":3},{"title":"Conclusion","url":"#conclusion","depth":2}],"estimatedTime":49}