{"code":"var Component=(()=>{var p=Object.create;var r=Object.defineProperty;var m=Object.getOwnPropertyDescriptor;var v=Object.getOwnPropertyNames;var h=Object.getPrototypeOf,q=Object.prototype.hasOwnProperty;var g=(t,e)=>()=>(e||t((e={exports:{}}).exports,e),e.exports),f=(t,e)=>{for(var s in e)r(t,s,{get:e[s],enumerable:!0})},u=(t,e,s,a)=>{if(e&&typeof e==\"object\"||typeof e==\"function\")for(let i of v(e))!q.call(t,i)&&i!==s&&r(t,i,{get:()=>e[i],enumerable:!(a=m(e,i))||a.enumerable});return t};var b=(t,e,s)=>(s=t!=null?p(h(t)):{},u(e||!t||!t.__esModule?r(s,\"default\",{value:t,enumerable:!0}):s,t)),z=t=>u(r({},\"__esModule\",{value:!0}),t);var l=g((L,o)=>{o.exports=_jsx_runtime});var x={};f(x,{default:()=>d});var n=b(l());function c(t){let e={a:\"a\",code:\"code\",em:\"em\",h2:\"h2\",h3:\"h3\",img:\"img\",li:\"li\",p:\"p\",strong:\"strong\",ul:\"ul\",...t.components};return(0,n.jsxs)(n.Fragment,{children:[(0,n.jsx)(e.p,{children:\"On vous a demand\\xE9 de coller une commande dans Terminal. Peut-\\xEAtre qu'une page d'assistance affirmait qu'elle r\\xE9glerait votre probl\\xE8me. Peut-\\xEAtre qu'un \\xE9cran de v\\xE9rification pr\\xE9tendait qu'elle prouverait que vous \\xEAtes bien humain. Peut-\\xEAtre qu'une page de t\\xE9l\\xE9chargement la pr\\xE9sentait comme le moyen le plus rapide d'installer quelque chose. Vous l'avez copi\\xE9e, vous avez ouvert Terminal, vous avez appuy\\xE9 sur Commande-V, et votre Mac vous a arr\\xEAt\\xE9 avec une alerte de s\\xE9curit\\xE9.\"}),`\n`,(0,n.jsx)(e.p,{children:\"La premi\\xE8re r\\xE9action, chez presque tout le monde, consiste \\xE0 penser que macOS fait de la parano\\xEFa. Parfois, cette r\\xE9action est juste. Certains logiciels l\\xE9gitimes fournissent r\\xE9ellement des instructions d'installation qui vous demandent de coller une commande, et une protection con\\xE7ue pour attraper des attaquants va forc\\xE9ment en attraper quelques-unes au passage. Mais parfois, l'alerte est la derni\\xE8re chose qui s\\xE9pare un inconnu de votre trousseau Apple, des mots de passe de votre navigateur et de toutes les cryptomonnaies que vous conservez sur cette machine.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Cet article vous dit dans quelle situation vous vous trouvez. Il couvre les trois protections ajout\\xE9es par Apple, ce que signifie r\\xE9ellement chaque alerte, si vous pouvez passer outre et ce que cela co\\xFBte vraiment, pourquoi vous avez eu cette invite alors que votre ami d\\xE9veloppeur ne l'a jamais vue, ce qui se passe sur des terminaux tiers comme iTerm2 et Ghostty, ainsi qu'une r\\xE8gle de d\\xE9cision applicable en une trentaine de secondes sans avoir besoin de comprendre la syntaxe du shell. Si vous avez d\\xE9j\\xE0 coll\\xE9 et ex\\xE9cut\\xE9 quelque chose, un plan d'action calme et ordonn\\xE9 se trouve plus bas. Commencez par l\\xE0 et revenez ensuite pour les explications.\"}),`\n`,(0,n.jsx)(e.p,{children:(0,n.jsx)(e.img,{alt:\"Fen\\xEAtre Terminal de macOS affichant une alerte de s\\xE9curit\\xE9\",src:\"/images/blog/mac-blocked-terminal-command-paste-malware-alert-explained-2026/hero.webp\",width:\"1024\",height:\"541\"})}),`\n`,(0,n.jsx)(e.h2,{id:\"points-cl\\xE9s-\\xE0-retenir\",children:\"Points cl\\xE9s \\xE0 retenir\"}),`\n`,(0,n.jsxs)(e.ul,{children:[`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"Il y a trois protections distinctes, pas une seule.\"}),\" La documentation Platform Security d'Apple d\\xE9crit Terminal Paste Protection, le blocage des commandes issues du presse-papiers et l'analyse AppleScript comme des m\\xE9canismes distincts introduits dans macOS 26.4 ou version ult\\xE9rieure. Savoir lequel s'est d\\xE9clench\\xE9 vous indique le degr\\xE9 de s\\xE9rieux \\xE0 accorder \\xE0 l'alerte.\"]}),`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"Une alerte que l'on peut contourner et une alerte que l'on ne peut pas contourner ne veulent pas du tout dire la m\\xEAme chose.\"}),\" Une correspondance heuristique vous laisse un passage. Une correspondance avec une signature de logiciel malveillant connu, non \\u2014 pas plus que les scripts ex\\xE9cut\\xE9s depuis la m\\xE9moire. Si votre Mac ne vous propose aucun bouton pour continuer, ce n'est pas un bug \\xE0 contourner.\"]}),`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"Les terminaux tiers perdent l'invite mais conservent le filet de s\\xE9curit\\xE9.\"}),\" Apple documente l'avertissement de collage comme une fonctionnalit\\xE9 de l'app Terminal, tandis que le blocage des commandes issues du presse-papiers couvre explicitement n'importe quel \\xE9mulateur de terminal, y compris les applications tierces, car il op\\xE8re au niveau de XProtect sur l'arborescence de processus r\\xE9sultante.\"]}),`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"L'attaque que ces protections existent pour stopper montre des pages diff\\xE9rentes selon les visiteurs.\"}),\" Des recherches de Microsoft Threat Intelligence publi\\xE9es le 2026-08-05 d\\xE9crivent une op\\xE9ration ClickFix visant macOS dont les pages prennent l'empreinte de chaque visiteur et traquent les chercheurs en s\\xE9curit\\xE9, ce qui signifie que v\\xE9rifier un lien vous-m\\xEAme ne prouve rien sur ce qui a \\xE9t\\xE9 montr\\xE9 \\xE0 quelqu'un d'autre.\"]}),`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"L'enjeu, c'est l'int\\xE9gralit\\xE9 de vos identifiants, pas un seul mot de passe.\"}),\" Les chercheurs de Huntress ont d\\xE9crit un stealer macOS \\xE9crit en Go qui vise les bases de donn\\xE9es de mots de passe des navigateurs, les cookies et le trousseau Apple, avec une fonction de siphonnage de cryptomonnaies r\\xE9glable jusqu'\\xE0 1 % d'un solde afin que le vol reste discret. Un Mac sous surveillance avait \\xE9t\\xE9 compromis environ trois mois avant que quiconque ne s'en aper\\xE7oive.\"]}),`\n`]}),`\n`,(0,n.jsx)(e.h2,{id:\"les-trois-protections-et-celle-que-vous-venez-de-d\\xE9clencher\",children:\"Les trois protections, et celle que vous venez de d\\xE9clencher\"}),`\n`,(0,n.jsx)(e.p,{children:\"La page de documentation Platform Security d'Apple consacr\\xE9e aux protections de Terminal et des scripts d\\xE9crit trois m\\xE9canismes introduits dans macOS 26.4 ou version ult\\xE9rieure. On en parle souvent comme s'il s'agissait d'une seule fonctionnalit\\xE9, ce qui entretient beaucoup de confusion, car ces m\\xE9canismes se comportent diff\\xE9remment, couvrent des logiciels diff\\xE9rents, et seuls certains d'entre eux peuvent \\xEAtre contourn\\xE9s.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Lisez cette section en premier. Une fois que vous savez laquelle des trois vous avez d\\xE9clench\\xE9e, tout le reste de cet article devient plus facile \\xE0 appliquer.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"protection-1--terminal-paste-protection\",children:\"Protection 1 : Terminal Paste Protection\"}),`\n`,(0,n.jsx)(e.p,{children:\"C'est celle \\xE0 laquelle pensent la plupart des gens quand ils disent que leur Mac a bloqu\\xE9 un collage. Il s'agit d'une bo\\xEEte de dialogue d'avertissement affich\\xE9e par l'app Terminal d'Apple lorsque vous y collez du texte provenant d'une cat\\xE9gorie d'applications sources que les attaquants utilisent couramment pour transmettre une commande : navigateurs web, Messages, Mail, Aper\\xE7u et applications de messagerie.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Le mot cl\\xE9 ici est avertissement. Cette protection vise \\xE0 interrompre un moment d'ing\\xE9nierie sociale. Elle place un ralentisseur entre l'instruction qu'on vous a donn\\xE9e et l'action que vous vous appr\\xEAtiez \\xE0 accomplir, exactement au point o\\xF9 l'attaque repose sur le fait que vous ne vous arr\\xEAtiez pas pour r\\xE9fl\\xE9chir.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Apple documente des conditions pr\\xE9cises qui doivent toutes \\xEAtre r\\xE9unies avant que cette protection ne se d\\xE9clenche. Elle est d\\xE9lib\\xE9r\\xE9ment \\xE9troite, ce qui explique pourquoi la plupart des gens ne l'ont jamais vue. Nous passerons ces conditions en revue en d\\xE9tail dans un instant, car les comprendre r\\xE9pond \\xE0 la question la plus fr\\xE9quente sur cette fonctionnalit\\xE9 : pourquoi appara\\xEEt-elle chez certains et jamais chez d'autres.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"protection-2--blocage-des-commandes-issues-du-presse-papiers\",children:\"Protection 2 : blocage des commandes issues du presse-papiers\"}),`\n`,(0,n.jsx)(e.p,{children:\"Celle-ci op\\xE8re \\xE0 une couche compl\\xE8tement diff\\xE9rente, et c'est la protection que la plupart des articles sous-estiment.\"}),`\n`,(0,n.jsx)(e.p,{children:\"La documentation d'Apple indique que lorsqu'un utilisateur colle du texte dans n'importe quel \\xE9mulateur de terminal, y compris des applications de terminal tierces, XProtect suit l'arborescence de processus r\\xE9sultante et inspecte son comportement. Deux choses se produisent alors. Les artefacts r\\xE9seau sont compar\\xE9s au service Safe Browsing d'Apple, et les processus qui correspondent \\xE0 des sources malveillantes connues sont bloqu\\xE9s. Par ailleurs, les sch\\xE9mas comportementaux sont \\xE9valu\\xE9s au regard de techniques de logiciels malveillants connues.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Remarquez ce dont cette description ne d\\xE9pend pas. Elle ne d\\xE9pend pas de l'affichage d'une bo\\xEEte de dialogue par le terminal. Elle ne d\\xE9pend pas du fait que le terminal soit celui d'Apple. Elle ne d\\xE9pend pas du fait que vous ayez \\xE9t\\xE9 averti. La v\\xE9rification se produit apr\\xE8s le d\\xE9marrage de la commande, en observant ce que font les processus r\\xE9sultants et vers o\\xF9 ils se connectent. C'est pourquoi cette protection peut couvrir des logiciels qu'Apple n'a pas \\xE9crits.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"protection-3--analyse-dapplescript-et-de-jxa\",children:\"Protection 3 : analyse d'AppleScript et de JXA\"}),`\n`,(0,n.jsx)(e.p,{children:\"La troisi\\xE8me protection int\\xE8gre XProtect au framework OpenScripting, c'est-\\xE0-dire la partie de macOS qui ex\\xE9cute AppleScript et JavaScript for Automation, g\\xE9n\\xE9ralement abr\\xE9g\\xE9 en JXA. Les scripts dans les deux langages sont analys\\xE9s, et une correspondance avec une signature malveillante connue bloque l'ex\\xE9cution et en avertit l'utilisateur.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Il existe ici une asym\\xE9trie importante, et Apple l'\\xE9nonce clairement : les utilisateurs peuvent passer outre les blocages pour les scripts sous forme de fichier, mais ne peuvent pas le faire pour les scripts ex\\xE9cut\\xE9s depuis la m\\xE9moire. Cette distinction n'a rien d'arbitraire. Un script rang\\xE9 dans un fichier est quelque chose que vous pouvez aller lire avant de d\\xE9cider. Un script ex\\xE9cut\\xE9 directement depuis la m\\xE9moire, sans aucun fichier sur le disque \\xE0 inspecter, correspond \\xE0 un sch\\xE9ma fortement associ\\xE9 aux logiciels malveillants qui cherchent \\xE0 ne laisser aucune trace, et macOS refuse tout simplement de vous laisser passer outre.\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"Les attaques par script sur macOS ont une longue histoire, ce qui explique en partie l'existence m\\xEAme de cette protection. Notre panorama plus large des \",(0,n.jsx)(e.a,{href:\"/blog/mac-malware-threats-2026-simplestealth-glassworm-protection-guide\",children:\"familles de logiciels malveillants Mac actuelles et de leurs vecteurs d'entr\\xE9e\"}),\" explique \\xE0 quel point cet \\xE9cosyst\\xE8me s'appuie sur les scripts plut\\xF4t que sur l'exploitation de failles logicielles.\"]}),`\n`,(0,n.jsx)(e.h3,{id:\"faire-correspondre-lalerte-que-vous-avez-vue-\\xE0-la-protection-d\\xE9clench\\xE9e\",children:\"Faire correspondre l'alerte que vous avez vue \\xE0 la protection d\\xE9clench\\xE9e\"}),`\n`,(0,n.jsx)(e.p,{children:\"Voici le rep\\xE9rage rapide :\"}),`\n`,(0,n.jsxs)(e.ul,{children:[`\n`,(0,n.jsxs)(e.li,{children:[\"Vous avez coll\\xE9 dans le Terminal d'Apple et obtenu un avertissement avant que quoi que ce soit ne s'ex\\xE9cute, avec une possibilit\\xE9 de continuer : \",(0,n.jsx)(e.strong,{children:\"Terminal Paste Protection\"}),\".\"]}),`\n`,(0,n.jsxs)(e.li,{children:[\"Vous avez coll\\xE9, quelque chose a d\\xE9marr\\xE9, puis a \\xE9t\\xE9 arr\\xEAt\\xE9, \\xE9ventuellement dans un terminal tiers : \",(0,n.jsx)(e.strong,{children:\"blocage des commandes issues du presse-papiers\"}),\".\"]}),`\n`,(0,n.jsxs)(e.li,{children:[\"L'alerte mentionnait un script plut\\xF4t qu'un collage : \",(0,n.jsx)(e.strong,{children:\"analyse AppleScript\"}),\", et la possibilit\\xE9 de passer outre d\\xE9pend du fait que ce script \\xE9tait un fichier ou s'ex\\xE9cutait depuis la m\\xE9moire.\"]}),`\n`]}),`\n`,(0,n.jsx)(e.p,{children:\"Si vous n'\\xEAtes pas certain de ce qui s'est produit, la section suivante d\\xE9taille chaque alerte.\"}),`\n`,(0,n.jsx)(e.h2,{id:\"d\\xE9crypter-chaque-alerte\",children:\"D\\xE9crypter chaque alerte\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"Une remarque sur la formulation avant de commencer. Apple maintient un article d'assistance grand public intitul\\xE9 \",(0,n.jsx)(e.em,{children:\"If your Mac blocks a Terminal command paste or script\"}),\" \\xE0 l'adresse \",(0,n.jsx)(e.code,{children:\"support.apple.com/en-us/127377\"}),\", et cette page constitue la r\\xE9f\\xE9rence canonique pour les libell\\xE9s exacts que votre Mac vous affiche. Je n'ai pas pu lire directement le corps de cette page pour cet article, aussi les titres d'alerte ci-dessous sont pr\\xE9sent\\xE9s comme \",(0,n.jsx)(e.strong,{children:\"les libell\\xE9s rapport\\xE9s par la presse sp\\xE9cialis\\xE9e\"}),\", et non comme des citations textuelles d'Apple. Si ce que vous avez vu diff\\xE8re l\\xE9g\\xE8rement, faites confiance \\xE0 votre \\xE9cran et \\xE0 l'article d'Apple plut\\xF4t qu'\\xE0 une description de seconde main, y compris celle-ci.\"]}),`\n`,(0,n.jsx)(e.p,{children:\"Ce qui compte bien plus que le libell\\xE9 exact, c'est la cat\\xE9gorie \\xE0 laquelle appartient l'alerte, et ces cat\\xE9gories sont bien document\\xE9es.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"possible-malware-paste-blocked-logiciel-malveillant-possible-collage-bloqu\\xE9\",children:\"Possible malware, Paste blocked (logiciel malveillant possible, collage bloqu\\xE9)\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"La presse sp\\xE9cialis\\xE9e rapporte ce titre d'alerte pour une correspondance heuristique. Heuristique signifie que macOS n'a pas reconnu une menace connue pr\\xE9cise. Il a reconnu une \",(0,n.jsx)(e.em,{children:\"forme\"}),\" de comportement qui ressemble au fonctionnement habituel des collages malveillants.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[\"Cette alerte proposerait une option \",(0,n.jsx)(e.strong,{children:\"Paste Anyway\"}),\" (coller quand m\\xEAme), Apple pr\\xE9venant que poursuivre peut malgr\\xE9 tout mettre en danger votre Mac et votre vie priv\\xE9e.\"]}),`\n`,(0,n.jsx)(e.p,{children:\"Soyez honn\\xEAte avec vous-m\\xEAme sur ce que signifie ce bouton. Ce n'est pas un bouton qui dit \\xAB macOS s'est tromp\\xE9 \\xBB. C'est un bouton qui dit \\xAB j'assume la responsabilit\\xE9 de cette action \\xBB. Parce que la correspondance est heuristique plut\\xF4t que fond\\xE9e sur une signature, les faux positifs sont r\\xE9ellement possibles, et un d\\xE9veloppeur qui colle une commande inhabituelle mais l\\xE9gitime peut la d\\xE9clencher. C'est pr\\xE9cis\\xE9ment pour cela que la possibilit\\xE9 de passer outre existe. Mais la propri\\xE9t\\xE9 m\\xEAme qui rend les faux positifs possibles signifie aussi que l'alerte ne vous apprend rien de rassurant sur la commande elle-m\\xEAme. Le syst\\xE8me a signal\\xE9 un sch\\xE9ma. C'est d\\xE9sormais \\xE0 vous d'apporter le jugement, et la r\\xE8gle de d\\xE9cision plus bas dans cet article est con\\xE7ue exactement pour ce moment.\"}),`\n`,(0,n.jsx)(e.p,{children:\"La seule chose \\xE0 ne jamais faire, c'est de traiter Paste Anyway comme une formalit\\xE9 sur laquelle cliquer. Si vous vous surprenez \\xE0 y aller par r\\xE9flexe, arr\\xEAtez-vous et r\\xE9pondez d'abord aux questions de la section consacr\\xE9e \\xE0 la r\\xE8gle de d\\xE9cision. Cela prend une demi-minute.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"malware-detected-paste-blocked-logiciel-malveillant-d\\xE9tect\\xE9-collage-bloqu\\xE9\",children:\"Malware Detected, Paste Blocked (logiciel malveillant d\\xE9tect\\xE9, collage bloqu\\xE9)\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"La presse sp\\xE9cialis\\xE9e rapporte ce titre d'alerte pour une correspondance avec une signature de logiciel malveillant connu, et indique qu'elle s'accompagne d'\",(0,n.jsx)(e.strong,{children:\"aucune possibilit\\xE9 de passer outre\"}),\".\"]}),`\n`,(0,n.jsx)(e.p,{children:\"C'est un message d'une nature cat\\xE9goriquement diff\\xE9rente de l'alerte heuristique. L'alerte heuristique dit \\xAB cela ressemble au genre de chose qui est g\\xE9n\\xE9ralement mauvais \\xBB. Celle-ci dit \\xAB nous avons d\\xE9j\\xE0 vu ceci et nous savons de quoi il s'agit \\xBB. Il n'y a pas de bouton parce qu'il n'existe aucun sc\\xE9nario raisonnable dans lequel un utilisateur normal collant une commande normale devrait passer outre une correspondance confirm\\xE9e avec une menace connue.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Si vous obtenez cette alerte, la bonne r\\xE9action n'est pas de chercher une solution de contournement. C'est de consid\\xE9rer comme hostile la source qui vous a donn\\xE9 cette commande, de la fermer, et de passer aux \\xE9tapes de confinement si quoi que ce soit a \\xE9t\\xE9 ex\\xE9cut\\xE9. Ne retapez pas la commande \\xE0 la main pour contourner la v\\xE9rification du presse-papiers. N'essayez pas dans un autre terminal. Ne la transmettez pas \\xE0 quelqu'un d'autre pour qu'il l'essaie. La commande n'est pas le probl\\xE8me que vous \\xEAtes en train de r\\xE9soudre ; c'est la page ou le message qui vous l'a donn\\xE9e.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"malicious-script-blocked-script-malveillant-bloqu\\xE9\",children:\"Malicious Script Blocked (script malveillant bloqu\\xE9)\"}),`\n`,(0,n.jsx)(e.p,{children:\"La presse sp\\xE9cialis\\xE9e rapporte ce titre d'alerte pour la troisi\\xE8me protection, celle de l'analyse d'AppleScript et de JXA. Elle appara\\xEEt lorsque le framework OpenScripting est sollicit\\xE9 pour ex\\xE9cuter un script dont le contenu correspond \\xE0 une signature malveillante connue.\"}),`\n`,(0,n.jsx)(e.p,{children:\"La possibilit\\xE9 de passer outre celle-ci d\\xE9pend de l'endroit o\\xF9 r\\xE9side le script, et Apple documente la r\\xE8gle clairement. Un script sous forme de fichier peut \\xEAtre d\\xE9bloqu\\xE9 par l'utilisateur. Un script ex\\xE9cut\\xE9 depuis la m\\xE9moire ne peut pas l'\\xEAtre, en aucun cas.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Si vous voyez cette alerte en faisant quelque chose de l\\xE9gitime, comme ex\\xE9cuter un script d'automatisation que vous avez \\xE9crit ou fourni par un logiciel auquel vous faites confiance, la voie de contournement pour les scripts sous forme de fichier existe et vous pouvez l'emprunter. Mais commencez par faire l'\\xE9vidence : ouvrez r\\xE9ellement le fichier de script dans un \\xE9diteur de texte. Un script que vous pouvez lire est un script que vous pouvez \\xE9valuer, et toute la raison pour laquelle macOS autorise le contournement pour les fichiers et pas pour la m\\xE9moire, c'est que le cas du fichier vous laisse cette possibilit\\xE9.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"ce-que-fait-r\\xE9ellement-un-contournement\",children:\"Ce que fait r\\xE9ellement un contournement\"}),`\n`,(0,n.jsx)(e.p,{children:\"Passer outre ne marque pas la commande comme s\\xFBre. Cela n'apprend pas \\xE0 macOS que vous \\xEAtes un utilisateur de confiance. Cela ne vous exempte pas des autres protections. Concr\\xE8tement, cliquer sur Paste Anyway dans l'avertissement de Terminal ne d\\xE9sactive pas le blocage des commandes issues du presse-papiers, qui est un m\\xE9canisme distinct op\\xE9rant au niveau de XProtect apr\\xE8s le d\\xE9marrage du processus. Vous pouvez passer outre l'avertissement et voir malgr\\xE9 tout le processus r\\xE9sultant bloqu\\xE9 un instant plus tard s'il tente d'atteindre quelque chose de connu comme malveillant.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Cette superposition est une fonctionnalit\\xE9, pas une redondance. Chaque protection part du principe que les autres pourraient \\xE9chouer.\"}),`\n`,(0,n.jsx)(e.h2,{id:\"pourquoi-vous-avez-eu-linvite-alors-que-votre-ami-d\\xE9veloppeur-ne-la-jamais\",children:\"Pourquoi vous avez eu l'invite alors que votre ami d\\xE9veloppeur ne l'a jamais\"}),`\n`,(0,n.jsx)(e.p,{children:\"C'est de loin la source de confusion la plus fr\\xE9quente autour de l'avertissement de collage, et la r\\xE9ponse est document\\xE9e plut\\xF4t que myst\\xE9rieuse.\"}),`\n`,(0,n.jsx)(e.p,{children:\"La documentation Platform Security d'Apple indique que Terminal Paste Protection ne se d\\xE9clenche que lorsque toutes les conditions suivantes sont r\\xE9unies :\"}),`\n`,(0,n.jsxs)(e.ul,{children:[`\n`,(0,n.jsx)(e.li,{children:\"L'utilisateur n'a pas ouvert l'app Terminal depuis plus de 30 jours.\"}),`\n`,(0,n.jsx)(e.li,{children:\"Aucun outillage de d\\xE9veloppement courant n'est d\\xE9tect\\xE9 sur le syst\\xE8me.\"}),`\n`,(0,n.jsx)(e.li,{children:\"Le collage provient d'une application sp\\xE9cifique.\"}),`\n`]}),`\n`,(0,n.jsxs)(e.p,{children:[\"Il existe \\xE9galement un \",(0,n.jsx)(e.strong,{children:\"d\\xE9lai de gr\\xE2ce de 24 heures apr\\xE8s la configuration initiale\"}),\", afin qu'un Mac tout neuf en cours de configuration n'assaille pas d'invites quelqu'un qui est l\\xE9gitimement en train de mettre en place son environnement.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[\"Relisez ces conditions et remarquez ce qu'elles d\\xE9crivent. Elles ne d\\xE9crivent pas une commande dangereuse. Elles d\\xE9crivent une \",(0,n.jsx)(e.em,{children:\"personne\"}),\".\"]}),`\n`,(0,n.jsx)(e.h3,{id:\"la-condition-des-30-jours\",children:\"La condition des 30 jours\"}),`\n`,(0,n.jsx)(e.p,{children:\"Si vous utilisez Terminal r\\xE9guli\\xE8rement, cette protection vous est de fait invisible, car la premi\\xE8re condition n'est jamais remplie. Ouvrir Terminal au cours d'une fen\\xEAtre quelconque de 30 jours suffit \\xE0 vous maintenir hors du champ du d\\xE9clencheur. C'est pourquoi les d\\xE9veloppeurs, les administrateurs syst\\xE8me et toute personne qui vit dans un shell peuvent traverser toute la vie d'un Mac sans jamais voir cette bo\\xEEte de dialogue.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Si vous n'ouvrez pour ainsi dire jamais Terminal, et qu'aujourd'hui vous l'ouvrez parce que quelque chose vous l'a dit, vous \\xEAtes exactement la personne que cette condition d\\xE9crit.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"la-condition-de-loutillage-de-d\\xE9veloppement\",children:\"La condition de l'outillage de d\\xE9veloppement\"}),`\n`,(0,n.jsx)(e.p,{children:\"La deuxi\\xE8me condition recherche un outillage de d\\xE9veloppement courant sur le syst\\xE8me. Une machine dot\\xE9e d'un v\\xE9ritable environnement de d\\xE9veloppement appartient \\xE0 quelqu'un qui colle des commandes dans le cadre normal de son travail, et avertir cette personne \\xE0 chaque collage l'entra\\xEEnerait \\xE0 \\xE9carter l'avertissement sans le lire, ce qui rendrait la protection sans valeur.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Cette condition se trouve aussi \\xEAtre la r\\xE9ponse honn\\xEAte pour les d\\xE9veloppeurs que l'invite agace, et nous y reviendrons dans la section d\\xE9pannage, car le correctif n'est pas celui que les gens demandent d'ordinaire.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"la-condition-de-lapplication-source\",children:\"La condition de l'application source\"}),`\n`,(0,n.jsx)(e.p,{children:\"La troisi\\xE8me condition porte sur la provenance du texte coll\\xE9. Apple d\\xE9crit la protection comme couvrant les collages issus de vecteurs d'attaque courants : navigateurs web, Messages, Mail, Aper\\xE7u et applications de messagerie. Un texte que vous avez copi\\xE9 depuis un document que vous avez r\\xE9dig\\xE9, ou depuis une autre fen\\xEAtre de terminal, ne rel\\xE8ve pas de la m\\xEAme situation qu'un texte qu'une page web ou le message d'un inconnu a plac\\xE9 dans votre presse-papiers.\"}),`\n`,(0,n.jsx)(e.p,{children:\"C'est une distinction significative, car la diffusion ClickFix passe presque toujours par l'un de ces canaux. La commande doit vous parvenir d'une mani\\xE8re ou d'une autre, et elle vous parvient par les applications que vous utilisez pour lire ce que d'autres ont \\xE9crit.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"pourquoi-ce-ciblage-est-le-bon-choix-de-conception\",children:\"Pourquoi ce ciblage est le bon choix de conception\"}),`\n`,(0,n.jsx)(e.p,{children:\"R\\xE9unissez les trois conditions et vous obtenez un filtre qui se d\\xE9clenche pour quelqu'un qui n'utilise pas normalement Terminal, n'a aucun environnement de d\\xE9veloppement, et vient de copier une commande depuis un navigateur ou un message. Ce n'est pas la description d'un utilisateur avanc\\xE9 malchanceux. C'est la description d'une victime de ClickFix, avec une grande pr\\xE9cision.\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"Cela explique aussi quelque chose qui exasp\\xE8re les gens : deux utilisateurs peuvent coller la commande identique et un seul est averti. Rien n'a chang\\xE9 dans la commande. L'\\xE9valuation porte sur les circonstances, pas seulement sur le contenu. Si vous voulez comprendre \\xE0 quoi sert vraiment Terminal au-del\\xE0 de cette seule alerte, notre \",(0,n.jsx)(e.a,{href:\"/blog/macos-tahoe-terminal-complete-guide-2025\",children:\"guide complet de Terminal sur macOS Tahoe\"}),\" est un point de d\\xE9part raisonnable \\u2014 et, honn\\xEAtement, devenir quelqu'un qui utilise Terminal de mani\\xE8re d\\xE9lib\\xE9r\\xE9e est une meilleure d\\xE9fense \\xE0 long terme que n'importe quelle bo\\xEEte de dialogue.\"]}),`\n`,(0,n.jsx)(e.p,{children:(0,n.jsx)(e.img,{alt:\"Illustration conceptuelle d'une bo\\xEEte de dialogue d'alerte de s\\xE9curit\\xE9\",src:\"/images/blog/mac-blocked-terminal-command-paste-malware-alert-explained-2026/content-1.webp\",width:\"1024\",height:\"541\"})}),`\n`,(0,n.jsx)(e.h2,{id:\"la-question-diterm2-warp-et-ghostty\",children:\"La question d'iTerm2, Warp et Ghostty\"}),`\n`,(0,n.jsx)(e.p,{children:\"C'est ici que la plupart des discussions d\\xE9rapent, et elles d\\xE9rapent d'une mani\\xE8re qui a des cons\\xE9quences.\"}),`\n`,(0,n.jsx)(e.p,{children:\"La conclusion courante est la suivante : cela ne prot\\xE8ge que le Terminal d'Apple, donc si j'utilise iTerm2, je n'ai rien. C'est \\xE0 moiti\\xE9 vrai et \\xE0 moiti\\xE9 faux, et la distinction est probablement l'\\xE9l\\xE9ment le plus utile de cet article.\"}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"L'invite de collage est sp\\xE9cifique \\xE0 l'app Terminal d'Apple.\"}),\" La documentation d'Apple d\\xE9crit Terminal Paste Protection comme un avertissement affich\\xE9 lorsque l'utilisateur colle dans Terminal. iTerm2, Alacritty, Warp, Ghostty, Kitty, WezTerm et tous les autres ne vous montreront pas cette bo\\xEEte de dialogue \\xE0 moins que leurs propres d\\xE9veloppeurs n'impl\\xE9mentent un \\xE9quivalent. Si vous vivez dans iTerm2, vous ne devez pas vous attendre \\xE0 l'avertissement, et vous ne devez pas interpr\\xE9ter son absence comme un feu vert.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Le blocage des commandes issues du presse-papiers n'est pas sp\\xE9cifique au Terminal d'Apple.\"}),\" La formulation d'Apple est explicite sur ce point : lorsqu'un utilisateur colle du texte dans n'importe quel \\xE9mulateur de terminal, y compris des applications de terminal tierces, XProtect suit l'arborescence de processus r\\xE9sultante et inspecte son comportement. Il ne surveille pas l'interface utilisateur du terminal. Il surveille ce que fait r\\xE9ellement le processus engendr\\xE9 par le collage, en comparant les artefacts r\\xE9seau au service Safe Browsing d'Apple tout en \\xE9valuant le comportement au regard de techniques de logiciels malveillants connues.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[\"Donc la formulation exacte est celle-ci : \",(0,n.jsx)(e.strong,{children:\"l'utilisateur d'un terminal tiers perd l'avertissement mais conserve le filet de s\\xE9curit\\xE9.\"}),\" Vous perdez le ralentisseur destin\\xE9 \\xE0 l'humain, celui con\\xE7u pour vous interrompre en pleine ing\\xE9nierie sociale. Vous conservez la v\\xE9rification destin\\xE9e \\xE0 la machine, qui s'ex\\xE9cute ensuite.\"]}),`\n`,(0,n.jsx)(e.p,{children:\"Ce compromis m\\xE9rite d'\\xEAtre compris plut\\xF4t que balay\\xE9 d'un haussement d'\\xE9paules, car les deux protections attrapent des d\\xE9faillances diff\\xE9rentes. L'avertissement vous attrape avant que quoi que ce soit ne s'ex\\xE9cute, quand le co\\xFBt de l'erreur est nul. Le filet de s\\xE9curit\\xE9 attrape le processus apr\\xE8s son d\\xE9marrage, quand le co\\xFBt de l'erreur n'est pas nul, car une certaine quantit\\xE9 de code s'est d\\xE9j\\xE0 ex\\xE9cut\\xE9e avant que le blocage ne survienne.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Il y a aussi une implication pratique sur la fa\\xE7on dont vous devriez vous comporter. Si vous utilisez un terminal tiers, vous \\xEAtes la personne pour qui la r\\xE8gle de d\\xE9cision ci-dessous compte le plus, car votre syst\\xE8me d'exploitation ne va pas vous interrompre au moment du collage. Vous devez \\xEAtre votre propre bo\\xEEte de dialogue.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Rien de tout cela n'est une critique d'iTerm2 ou de Ghostty. Ce sont d'excellents outils, et leurs utilisateurs appartiennent g\\xE9n\\xE9ralement \\xE0 la population de d\\xE9veloppeurs qui serait de toute fa\\xE7on exclue de l'avertissement de collage par la condition de l'outillage. Cela signifie seulement que le profil de protection diff\\xE8re de ce que beaucoup supposent, dans les deux sens.\"}),`\n`,(0,n.jsx)(e.h2,{id:\"ce-quest-r\\xE9ellement-clickfix\",children:\"Ce qu'est r\\xE9ellement ClickFix\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"Ces protections existent \\xE0 cause d'un sch\\xE9ma d'ing\\xE9nierie sociale pr\\xE9cis et extr\\xEAmement efficace. Il s'appelle \",(0,n.jsx)(e.strong,{children:\"ClickFix\"}),\", parfois d\\xE9crit comme du pastejacking, et le comprendre prot\\xE8ge davantage que m\\xE9moriser n'importe quel libell\\xE9 d'alerte.\"]}),`\n`,(0,n.jsx)(e.p,{children:\"Le sch\\xE9ma est simple. Une page web ou un message vous convainc de copier une commande et de la coller dans Terminal. La mise en sc\\xE8ne rel\\xE8ve presque toujours de l'un de ces cas :\"}),`\n`,(0,n.jsxs)(e.ul,{children:[`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"Une fausse \\xE9tape de v\\xE9rification.\"}),\" Vous voyez quelque chose qui a l'allure d'un CAPTCHA ou d'un test de v\\xE9rification humaine, mais au lieu de cliquer sur des images de feux tricolores, on vous dit de finaliser la v\\xE9rification en ex\\xE9cutant une commande. C'est la variante la plus courante, et elle fonctionne parce que les tests de v\\xE9rification ont entra\\xEEn\\xE9 tout le monde \\xE0 suivre des instructions bizarres sans les remettre en question.\"]}),`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"Une fausse erreur avec un correctif \\xE0 la cl\\xE9.\"}),\" Une page vous annonce qu'un composant manque, qu'un codec est obsol\\xE8te ou qu'un pilote a \\xE9chou\\xE9, et fournit obligeamment la commande qui r\\xE8gle le probl\\xE8me. L'erreur est fictive. Le correctif est la charge utile.\"]}),`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"Un faux programme d'installation.\"}),\" Une page de t\\xE9l\\xE9chargement pour un logiciel r\\xE9el et d\\xE9sirable pr\\xE9sente une commande comme la m\\xE9thode d'installation rapide, souvent aux c\\xF4t\\xE9s d'un bouton de t\\xE9l\\xE9chargement d'apparence normale.\"]}),`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"Une fausse mise \\xE0 jour d'application de r\\xE9union.\"}),\" Vous cliquez sur un lien de r\\xE9union, on vous annonce que votre application de visioconf\\xE9rence a besoin d'une mise \\xE0 jour avant que vous puissiez rejoindre la r\\xE9union, et on vous donne une commande \\xE0 ex\\xE9cuter. La pression temporelle d'une r\\xE9union pour laquelle vous \\xEAtes d\\xE9j\\xE0 en retard fait le reste.\"]}),`\n`]}),`\n`,(0,n.jsx)(e.h3,{id:\"pourquoi-cela-marche-sur-des-gens-prudents\",children:\"Pourquoi cela marche sur des gens prudents\"}),`\n`,(0,n.jsx)(e.p,{children:\"ClickFix n'est pas un test d'intelligence. Cette attaque poss\\xE8de trois propri\\xE9t\\xE9s qui mettent en \\xE9chec la prudence ordinaire.\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"Premi\\xE8rement, \",(0,n.jsx)(e.strong,{children:\"c'est vous qui effectuez l'action\"}),\". Aucun t\\xE9l\\xE9chargement n'est bloqu\\xE9, aucune invite Gatekeeper n'appara\\xEEt, aucune app non sign\\xE9e n'est mise en quarantaine, parce que rien n'a \\xE9t\\xE9 t\\xE9l\\xE9charg\\xE9 de la mani\\xE8re que ces protections attendent. Vous avez saisi l'attaque de vos propres mains. Beaucoup des d\\xE9fenses sur lesquelles les utilisateurs de Mac comptent surveillent une autre porte.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[\"Deuxi\\xE8mement, \",(0,n.jsx)(e.strong,{children:\"la mise en sc\\xE8ne fournit une raison\"}),\". Chaque variante r\\xE9pond \\xE0 la question \\xAB pourquoi suis-je en train de faire \\xE7a \\xBB avant que vous ne la posiez. Une v\\xE9rification. Un composant manquant. Une installation plus rapide. Les gens ne r\\xE9sistent pas aux instructions accompagn\\xE9es d'une explication, surtout quand elle est ennuyeuse.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[\"Troisi\\xE8mement, \",(0,n.jsx)(e.strong,{children:\"elle emprunte l'autorit\\xE9 d'une pratique l\\xE9gitime\"}),\". De vrais logiciels fournissent r\\xE9ellement des instructions du type \\xAB collez cette commande \\xBB. L'attaque ne pr\\xE9tend pas \\xEAtre quelque chose d'inhabituel. Elle imite quelque chose de normal.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[\"Ce dernier point explique pourquoi une famille d'attaques apparent\\xE9e fonctionne \\xE9galement. Les fausses bo\\xEEtes de dialogue syst\\xE8me qui r\\xE9clament votre mot de passe r\\xE9ussissent pour la m\\xEAme raison, ce que nous avons d\\xE9taill\\xE9 dans notre article sur \",(0,n.jsx)(e.a,{href:\"/blog/fake-mac-crash-report-password-prompt-crashstealer-malware-protection-2026\",children:\"la fausse invite de mot de passe du rapport de plantage Mac\"}),\". M\\xEAme ruse sous-jacente, surface diff\\xE9rente.\"]}),`\n`,(0,n.jsx)(e.h3,{id:\"les-recherches-de-microsoft-threat-intelligence-et-pourquoi-elles-changent-votre-fa\\xE7on-d\\xE9valuer-les-liens\",children:\"Les recherches de Microsoft Threat Intelligence, et pourquoi elles changent votre fa\\xE7on d'\\xE9valuer les liens\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"Des recherches de Microsoft Threat Intelligence publi\\xE9es le 2026-08-05 ont suivi une op\\xE9ration ClickFix visant macOS r\\xE9partie sur \",(0,n.jsx)(e.strong,{children:\"plus de 250 domaines de fa\\xE7ade\"}),\". L'ampleur seule m\\xE9rite qu'on s'y arr\\xEAte, mais le m\\xE9canisme est l'\\xE9l\\xE9ment important.\"]}),`\n`,(0,n.jsx)(e.p,{children:\"Selon ces recherches, un petit fragment de JavaScript prend l'empreinte de chaque visiteur avant de d\\xE9cider quoi lui montrer. Les signaux rapport\\xE9s incluent la cha\\xEEne de plateforme, les dimensions de l'\\xE9cran et de la fen\\xEAtre, les donn\\xE9es WebGL, le fuseau horaire, le fait que la page soit dans une iframe et la prise en charge du tactile. Le script traque aussi sp\\xE9cifiquement les chercheurs en s\\xE9curit\\xE9 au moyen d'un compteur qui s'incr\\xE9mente tant que la console de d\\xE9veloppement du navigateur est ouverte, une astuce \\xE9l\\xE9gante qui transforme l'outillage m\\xEAme de l'analyste en signal de d\\xE9tection.\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"Les visiteurs qui ne correspondent pas au profil cibl\\xE9 obtiennent des pages vierges ou des sites sans rapport. Les visiteurs qui remplissent les crit\\xE8res, c'est-\\xE0-dire les utilisateurs de Mac qui ressemblent \\xE0 de vraies personnes, obtiennent une page aux couleurs de GitHub proposant une option \",(0,n.jsx)(e.strong,{children:\"Download for macOS\"}),\" (t\\xE9l\\xE9charger pour macOS), assortie d'un \",(0,n.jsx)(e.strong,{children:\"badge Verified Publisher falsifi\\xE9\"}),\". Les charges utiles rapport\\xE9es dans ces recherches \\xE9taient \",(0,n.jsx)(e.strong,{children:\"MacSync\"}),\" et \",(0,n.jsx)(e.strong,{children:\"Atomic Stealer\"}),\", couramment abr\\xE9g\\xE9 en AMOS.\"]}),`\n`,(0,n.jsx)(e.p,{children:\"Voici la cons\\xE9quence qui change r\\xE9ellement votre comportement, et elle m\\xE9rite d'\\xEAtre \\xE9nonc\\xE9e sans d\\xE9tour :\"}),`\n`,(0,n.jsx)(e.p,{children:(0,n.jsx)(e.strong,{children:\"Parce que la page montre des contenus diff\\xE9rents \\xE0 des visiteurs diff\\xE9rents, \\xAB je l'ai v\\xE9rifi\\xE9e et elle avait l'air correcte \\xBB ne vaut rien comme preuve. Pas plus que \\xAB mon ami l'a ouverte et il ne s'est rien pass\\xE9 \\xBB.\"})}),`\n`,(0,n.jsx)(e.p,{children:\"Vous n'\\xE9valuez pas une chose fixe. Vous \\xE9valuez quelque chose qui a d\\xE9cid\\xE9 de ce qu'il serait en fonction de qui regardait. Un coll\\xE8gue qui a ouvert le lien sur une machine Windows, ou dans un navigateur avec les outils de d\\xE9veloppement ouverts, ou depuis un autre fuseau horaire, a pu voir une page enti\\xE8rement vierge et rapporter en toute honn\\xEAtet\\xE9 que le lien \\xE9tait inoffensif. Ce rapport ne vous apprend rien sur ce qui vous a \\xE9t\\xE9 montr\\xE9 \\xE0 vous.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Le badge Verified Publisher falsifi\\xE9 m\\xE9rite aussi une mention. Les badges de confiance ne sont que des pixels. Tout ce qu'un site l\\xE9gitime peut afficher, un site malveillant peut le copier \\xE0 l'identique. Un badge est une affirmation, pas une preuve, et le prendre pour une preuve rel\\xE8ve de la m\\xEAme cat\\xE9gorie d'erreur que faire confiance \\xE0 une invite de mot de passe parce qu'elle a l'air d'avoir \\xE9t\\xE9 dessin\\xE9e par macOS.\"}),`\n`,(0,n.jsx)(e.h2,{id:\"ce-qui-est-r\\xE9ellement-en-jeu\",children:\"Ce qui est r\\xE9ellement en jeu\"}),`\n`,(0,n.jsx)(e.p,{children:\"Il est facile de lire tout cela comme une abstraction, alors voici ce que fait concr\\xE8tement le logiciel malveillant qui se trouve au bout d'un ClickFix r\\xE9ussi.\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"Des recherches de Huntress publi\\xE9es le 2026-08-06 ont d\\xE9crit un stealer macOS \\xE9crit en Go, diffus\\xE9 via ClickFix, qui se fait passer pour des composants macOS l\\xE9gitimes. Ses cibles, telles que d\\xE9crites dans ces recherches : les bases de donn\\xE9es de mots de passe des navigateurs, le \",(0,n.jsx)(e.strong,{children:\"trousseau Apple\"}),\", les cookies et les fichiers d'identifiants.\"]}),`\n`,(0,n.jsx)(e.h3,{id:\"le-trousseau-est-tout-lenjeu\",children:\"Le trousseau est tout l'enjeu\"}),`\n`,(0,n.jsx)(e.p,{children:\"Concentrez-vous un instant sur le trousseau, car c'est lui qui d\\xE9finit le rayon de l'explosion. Votre trousseau d'ouverture de session n'est pas un mot de passe. Ce sont des identifiants Wi-Fi, des identifiants d'applications, des certificats, des notes s\\xE9curis\\xE9es et, pour beaucoup de gens, des ann\\xE9es d'identifiants de sites web accumul\\xE9s. Ce qui atteint le trousseau n'a pas vol\\xE9 un mot de passe. Il a vol\\xE9 l'ensemble.\"}),`\n`,(0,n.jsx)(e.p,{children:\"C'est pourquoi le conseil honn\\xEAte apr\\xE8s une compromission suspect\\xE9e n'est jamais \\xAB changez le mot de passe que vous avez saisi \\xBB. Chaque identifiant qui r\\xE9sidait sur cette machine doit \\xEAtre consid\\xE9r\\xE9 comme expos\\xE9.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"la-fonction-drain-et-la-conception-\\xE0-1-\",children:\"La fonction DRAIN et la conception \\xE0 1 %\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"Les recherches de Huntress ont \\xE9galement d\\xE9crit une fonction nomm\\xE9e \",(0,n.jsx)(e.strong,{children:(0,n.jsx)(e.code,{children:\"DRAIN\"})}),\" dans ce stealer. Elle recherche les formats de portefeuilles Bitcoin, Litecoin, Dogecoin, Ethereum et XRP, et peut transf\\xE9rer une fraction du solde contr\\xF4l\\xE9e par une variable \",(0,n.jsx)(e.code,{children:\"DRAIN_PCT\"}),\". Cette variable est configurable \",(0,n.jsx)(e.strong,{children:\"jusqu'\\xE0 1 %\"}),\".\"]}),`\n`,(0,n.jsx)(e.p,{children:\"Arr\\xEAtez-vous sur ce chiffre. Un attaquant qui vide un portefeuille se fait prendre imm\\xE9diatement, car la victime s'en aper\\xE7oit et l'incident commence. Un attaquant qui prend 1 % pourrait ne jamais \\xEAtre remarqu\\xE9. La conception est d\\xE9lib\\xE9r\\xE9ment discr\\xE8te, et elle est optimis\\xE9e pour rester en place plut\\xF4t que pour un seul gros coup.\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"La cons\\xE9quence pratique pour vous : \",(0,n.jsx)(e.strong,{children:\"\\xAB mon solde a l'air correct \\xBB n'est pas une preuve que vous \\xEAtes indemne.\"}),\" Un vol con\\xE7u pour \\xEAtre assez petit pour passer inaper\\xE7u passera effectivement inaper\\xE7u. Si vous avez des raisons de croire que quelque chose s'est ex\\xE9cut\\xE9 sur votre Mac, ne prenez pas l'absence de perte \\xE9vidente pour un feu vert.\"]}),`\n`,(0,n.jsx)(e.h3,{id:\"trois-mois\",children:\"Trois mois\"}),`\n`,(0,n.jsx)(e.p,{children:\"Les recherches de Huntress ont rapport\\xE9 qu'un Mac sous surveillance avait \\xE9t\\xE9 compromis environ trois mois avant sa d\\xE9tection.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Trois mois de navigation. Trois mois de connexions, de sessions, de cookies et de tout ce qui est pass\\xE9 par cette machine. Si vous cherchez \\xE0 \\xE9valuer l'urgence du plan d'action ci-dessous, ce chiffre est votre \\xE9talon. Ces infections ne font pas de bruit. Rien ne s'affiche. Le Mac ne devient pas lent d'une mani\\xE8re que vous remarqueriez. Tout le mod\\xE8le \\xE9conomique repose sur le fait que vous ne regardiez pas.\"}),`\n`,(0,n.jsx)(e.h2,{id:\"une-r\\xE8gle-de-d\\xE9cision-r\\xE9ellement-utilisable\",children:\"Une r\\xE8gle de d\\xE9cision r\\xE9ellement utilisable\"}),`\n`,(0,n.jsx)(e.p,{children:\"C'est le c\\u0153ur pratique de l'article. Vous n'avez pas besoin de lire couramment la syntaxe du shell pour prendre une bonne d\\xE9cision ici. Vous avez besoin de r\\xE9pondre honn\\xEAtement \\xE0 cinq questions.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"question-1--suis-je-all\\xE9-chercher-cela-ou-quelque-chose-ma-t-il-dit-de-lex\\xE9cuter-\",children:\"Question 1 : suis-je all\\xE9 chercher cela, ou quelque chose m'a-t-il dit de l'ex\\xE9cuter ?\"}),`\n`,(0,n.jsx)(e.p,{children:\"C'est de tr\\xE8s loin la question qui porte le plus d'information, et y r\\xE9pondre ne vous co\\xFBte rien.\"}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Vous \\xEAtes all\\xE9 chercher\"}),\" : vous avez d\\xE9cid\\xE9 d'installer un outil pr\\xE9cis, vous avez navigu\\xE9 vous-m\\xEAme jusqu'\\xE0 la documentation de cet outil, et vous y avez trouv\\xE9 une commande d'installation. L'intention est n\\xE9e de vous.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Quelque chose vous l'a dit\"}),\" : une page sur laquelle vous \\xEAtes arriv\\xE9, une erreur que vous n'aviez pas cherch\\xE9e, un message que quelqu'un vous a envoy\\xE9, ou un \\xE9cran de v\\xE9rification a produit l'instruction. L'intention est n\\xE9e ailleurs.\"]}),`\n`,(0,n.jsx)(e.p,{children:\"Presque toutes les victimes de ClickFix rel\\xE8vent de la seconde cat\\xE9gorie. Presque tous les collages l\\xE9gitimes rel\\xE8vent de la premi\\xE8re. Si vous \\xEAtes dans la seconde cat\\xE9gorie, la r\\xE9ponse par d\\xE9faut est non, et tout ce qui suit consiste \\xE0 d\\xE9terminer si vous avez suffisamment de raisons de renverser ce d\\xE9faut.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"question-2--est-ce-que-je-sais-ce-que-fait-chaque-partie-de-cette-commande-\",children:\"Question 2 : est-ce que je sais ce que fait chaque partie de cette commande ?\"}),`\n`,(0,n.jsx)(e.p,{children:\"Pas l'id\\xE9e g\\xE9n\\xE9rale. Chaque partie.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Si la r\\xE9ponse est non, vous avez deux options : apprendre ce qu'elle fait avant de l'ex\\xE9cuter, ou ne pas l'ex\\xE9cuter. Il n'existe pas de troisi\\xE8me option o\\xF9 vous ex\\xE9cutez quelque chose que vous ne comprenez pas parce qu'une page vous a assur\\xE9 que tout allait bien. Si la commande est longue, obscurcie, encod\\xE9e en base64 ou pleine de caract\\xE8res que vous ne savez pas expliquer, consid\\xE9rez l'obscurcissement lui-m\\xEAme comme la r\\xE9ponse. Les commandes d'installation l\\xE9gitimes ne cherchent g\\xE9n\\xE9ralement pas \\xE0 \\xEAtre illisibles.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"question-3--est-ce-quelle-redirige-un-t\\xE9l\\xE9chargement-directement-dans-un-shell-\",children:\"Question 3 : est-ce qu'elle redirige un t\\xE9l\\xE9chargement directement dans un shell ?\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"La forme \\xE0 surveiller est celle d'une commande qui r\\xE9cup\\xE8re quelque chose sur le r\\xE9seau et l'ex\\xE9cute imm\\xE9diatement, g\\xE9n\\xE9ralement en redirigeant la sortie d'un outil de t\\xE9l\\xE9chargement vers \",(0,n.jsx)(e.code,{children:\"sh\"}),\" ou \",(0,n.jsx)(e.code,{children:\"bash\"}),\". Ce sch\\xE9ma signifie que vous ex\\xE9cutez du code que vous n'avez jamais vu, provenant d'un serveur, au moment m\\xEAme o\\xF9 il arrive.\"]}),`\n`,(0,n.jsx)(e.p,{children:\"Ce sch\\xE9ma n'est pas automatiquement malveillant. De vrais projets l'utilisent, et nous traiterons cela honn\\xEAtement dans la section suivante. Mais cela signifie bien que le code que vous ex\\xE9cutez est ce que ce serveur d\\xE9cide de vous envoyer \\xE0 cet instant, ce qui, compte tenu des conclusions de Microsoft Threat Intelligence sur la prise d'empreinte des visiteurs, n'est pas n\\xE9cessairement ce qu'il envoie \\xE0 quelqu'un d'autre.\"}),`\n`,(0,n.jsxs)(e.h3,{id:\"question-4--est-ce-quelle-demande-sudo-et-mon-mot-de-passe-\",children:[\"Question 4 : est-ce qu'elle demande \",(0,n.jsx)(e.code,{children:\"sudo\"}),\" et mon mot de passe ?\"]}),`\n`,(0,n.jsxs)(e.p,{children:[\"Ex\\xE9cuter avec \",(0,n.jsx)(e.code,{children:\"sudo\"}),\" revient \\xE0 c\\xE9der les droits d'administrateur. Ce n'est pas automatiquement mauvais, puisque de nombreux programmes d'installation l\\xE9gitimes en ont besoin, mais cela fait passer les cons\\xE9quences d'une erreur de graves \\xE0 tr\\xE8s graves. Augmentez votre vigilance en proportion. Une commande qui r\\xE9clame les droits root depuis une source dont vous ne pouvez pas r\\xE9pondre n'est pas un cas limite.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[\"Habitude connexe \\xE0 cultiver : votre mot de passe d'administrateur devrait \\xEAtre quelque chose que vous saisissez en r\\xE9ponse \\xE0 des actions \",(0,n.jsx)(e.em,{children:\"que vous avez initi\\xE9es\"}),\", jamais en r\\xE9ponse \\xE0 une invite apparue d'elle-m\\xEAme.\"]}),`\n`,(0,n.jsx)(e.h3,{id:\"question-5--la-source-est-elle-la-documentation-officielle-du-projet-atteinte-par-ma-propre-navigation-\",children:\"Question 5 : la source est-elle la documentation officielle du projet, atteinte par ma propre navigation ?\"}),`\n`,(0,n.jsx)(e.p,{children:\"Le signal le plus fort est la combinaison de deux \\xE9l\\xE9ments : l'instruction se trouve sur le site ou le d\\xE9p\\xF4t officiel du projet logiciel, et vous y \\xEAtes arriv\\xE9 en naviguant vous-m\\xEAme plut\\xF4t qu'en suivant un lien que quelqu'un vous a tendu.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Cette combinaison compte, car chacune des deux moiti\\xE9s prise isol\\xE9ment est faible. Une page peut ressembler exactement \\xE0 la documentation d'un projet. Un lien peut pointer n'importe o\\xF9 tout en affichant n'importe quoi. Taper vous-m\\xEAme le nom du projet dans un moteur de recherche, v\\xE9rifier que le domaine correspond bien au projet r\\xE9el et trouver les instructions d'installation dans la documentation o\\xF9 elles ont leur place constitue un acte r\\xE9ellement diff\\xE9rent du fait de cliquer vers une page qui vous a dit quoi ex\\xE9cuter.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"comment-lire-une-commande-avant-de-lex\\xE9cuter\",children:\"Comment lire une commande avant de l'ex\\xE9cuter\"}),`\n`,(0,n.jsx)(e.p,{children:\"Si vous avez conclu qu'une commande est probablement l\\xE9gitime mais que vous voulez v\\xE9rifier plut\\xF4t qu'esp\\xE9rer, voici la marche \\xE0 suivre.\"}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Collez-la dans un \\xE9diteur de texte, pas dans Terminal.\"}),\" Un \\xE9diteur de texte brut n'ex\\xE9cute rien. Cela brise imm\\xE9diatement le sch\\xE9ma dont d\\xE9pend l'attaque, \\xE0 savoir que vous collez \\xE0 un endroit o\\xF9 appuyer sur Retour l'ex\\xE9cute.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Regardez l'ensemble, y compris ce qui a d\\xE9fil\\xE9 hors de vue.\"}),\" Une astuce vraiment vicieuse consiste en une commande compl\\xE9t\\xE9e par des espaces ou des sauts de ligne, de sorte que ce que vous voyez est inoffensif et que la charge utile se trouve loin \\xE0 droite ou sur une ligne suivante. Un \\xE9diteur de texte avec le retour \\xE0 la ligne activ\\xE9 vous montre tout. Terminal, non.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Cherchez un saut de ligne final.\"}),\" Si le texte copi\\xE9 se termine par un saut de ligne, le coller dans un shell l'ex\\xE9cute imm\\xE9diatement, sans aucune chance de le lire. C'est une technique d\\xE9lib\\xE9r\\xE9e. C'est aussi une des raisons d'\\xEAtre de l'avertissement de collage.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Pour un programme d'installation du type t\\xE9l\\xE9charger-et-ex\\xE9cuter, s\\xE9parez les \\xE9tapes.\"}),\" Au lieu de rediriger un t\\xE9l\\xE9chargement directement dans un shell, t\\xE9l\\xE9chargez le script dans un fichier, ouvrez ce fichier dans un \\xE9diteur de texte, lisez-le, et alors seulement ex\\xE9cutez-le. Cela vous co\\xFBte environ quatre-vingt-dix secondes et convertit un acte de foi en acte d'inspection. Si le script fait des milliers de lignes de logique dense que vous ne pouvez pas \\xE9valuer, vous aurez au moins appris quelque chose de r\\xE9el sur l'ampleur de la confiance que vous accordez.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"D\\xE9codez tout ce qui est encod\\xE9.\"}),\" Si une partie de la commande est en base64 ou en hexad\\xE9cimal, d\\xE9codez-la et lisez le r\\xE9sultat plut\\xF4t que de l'ex\\xE9cuter. Si un programme d'installation l\\xE9gitime a besoin de vous cacher son propre contenu, cela m\\xE9rite une question.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Dans le doute, abstenez-vous.\"}),\" Le co\\xFBt de ne pas ex\\xE9cuter une commande l\\xE9gitime, c'est d'installer quelque chose par un chemin plus lent. Le co\\xFBt d'en ex\\xE9cuter une malveillante figure dans la section pr\\xE9c\\xE9dente.\"]}),`\n`,(0,n.jsx)(e.p,{children:(0,n.jsx)(e.img,{alt:\"Illustration conceptuelle d'une protection en couches contre les logiciels malveillants\",src:\"/images/blog/mac-blocked-terminal-command-paste-malware-alert-explained-2026/content-2.webp\",width:\"1024\",height:\"541\"})}),`\n`,(0,n.jsx)(e.h2,{id:\"pourquoi-les-installateurs-\\xE0-la-homebrew-ressemblent-trait-pour-trait-\\xE0-lattaque\",children:\"Pourquoi les installateurs \\xE0 la Homebrew ressemblent trait pour trait \\xE0 l'attaque\"}),`\n`,(0,n.jsx)(e.p,{children:\"Il est temps d'\\xEAtre honn\\xEAte sur la partie inconfortable, car pr\\xE9tendre le contraire rendrait cet article inutile.\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"Ce qui rend la chose r\\xE9ellement difficile, c'est que \",(0,n.jsx)(e.strong,{children:\"le sch\\xE9ma l\\xE9gitime et le sch\\xE9ma d'attaque ont la m\\xEAme forme\"}),\". Le programme d'installation de Homebrew en est l'exemple canonique : la m\\xE9thode officiellement document\\xE9e pour l'installer consiste \\xE0 coller dans votre terminal une commande qui t\\xE9l\\xE9charge un script et l'ex\\xE9cute. Homebrew ne fait rien de mal. C'est un projet largement utilis\\xE9, largement reconnu, et cette m\\xE9thode d'installation est une pratique standard depuis plus de dix ans. Quantit\\xE9 d'autres outils respectables font de m\\xEAme.\"]}),`\n`,(0,n.jsx)(e.p,{children:\"Ainsi, tout conseil revenant \\xE0 \\xAB ne collez jamais de commandes dans Terminal \\xBB est un conseil qui vous ferait renoncer \\xE0 installer Homebrew, et les gens l'ignorent \\xE0 juste titre. La version absolutiste de cette r\\xE8gle \\xE9choue parce qu'elle contredit une pratique l\\xE9gitime quotidienne, et les r\\xE8gles que les gens ne peuvent pas suivre ne prot\\xE8gent personne.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Ce qui s\\xE9pare r\\xE9ellement les deux cas, ce n'est pas la commande. C'est le contexte qui l'entoure.\"}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"La fa\\xE7on dont vous \\xEAtes arriv\\xE9 \\xE0 l'instruction.\"}),\" Avec Homebrew, vous avez d\\xE9cid\\xE9 d'installer Homebrew, vous \\xEAtes all\\xE9 sur le site de Homebrew et vous avez lu les instructions d'installation. Avec ClickFix, une page que vous n'aviez pas cherch\\xE9e vous a dit d'ex\\xE9cuter quelque chose pour r\\xE9soudre un probl\\xE8me dont vous ignoriez l'existence jusqu'\\xE0 ce que cette page vous l'apprenne. La direction de l'intention est invers\\xE9e, et cette inversion est l'indice.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Le fait que le domaine soit celui du projet.\"}),\" La commande doit r\\xE9sider sur le site r\\xE9el du projet ou son d\\xE9p\\xF4t r\\xE9el. Pas un miroir, pas un article de blog, pas un lien raccourci, et pas une page dont l'habillage ressemble simplement \\xE0 celui du projet. V\\xE9rifiez le domaine en le regardant plut\\xF4t qu'en regardant le logo de la page. Les recherches de Microsoft Threat Intelligence ont d\\xE9crit une page aux couleurs de GitHub arborant un badge Verified Publisher falsifi\\xE9, illustration pr\\xE9cise de la raison pour laquelle l'identit\\xE9 visuelle n'est pas une v\\xE9rification.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Le fait que la commande corresponde \\xE0 des instructions publi\\xE9es et corrobor\\xE9es.\"}),\" Recherchez de mani\\xE8re ind\\xE9pendante la commande d'installation du projet. Si ce qu'on vous a donn\\xE9 diff\\xE8re de ce que le projet publie, vous avez votre r\\xE9ponse, et vous n'avez pas eu besoin de comprendre un seul caract\\xE8re de syntaxe shell pour l'obtenir.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Le fait que la mise en sc\\xE8ne fasse intervenir l'urgence ou une v\\xE9rification.\"}),\" Les documentations d'installation l\\xE9gitimes ne vous disent pas que vous devez ex\\xE9cuter quelque chose pour prouver que vous \\xEAtes humain, ni qu'une r\\xE9union ne commencera pas tant que vous ne l'aurez pas fait. L'urgence et la mise en sc\\xE8ne d'une v\\xE9rification sont des signaux presque exclusivement li\\xE9s aux attaquants.\"]}),`\n`,(0,n.jsx)(e.p,{children:\"Pour le dire simplement : la commande de Homebrew est s\\xFBre non pas \\xE0 cause de ce qu'elle dit, mais \\xE0 cause de l'endroit o\\xF9 vous l'avez trouv\\xE9e et de la fa\\xE7on dont vous y \\xEAtes arriv\\xE9. Appliquez la m\\xEAme norme \\xE0 tout le reste et vous trancherez correctement la plupart de ces cas.\"}),`\n`,(0,n.jsx)(e.h2,{id:\"que-faire-si-vous-avez-d\\xE9j\\xE0-coll\\xE9-et-ex\\xE9cut\\xE9-quelque-chose\",children:\"Que faire si vous avez d\\xE9j\\xE0 coll\\xE9 et ex\\xE9cut\\xE9 quelque chose\"}),`\n`,(0,n.jsx)(e.p,{children:\"Si une commande s'est d\\xE9j\\xE0 ex\\xE9cut\\xE9e, suivez cette liste dans l'ordre. N'essayez pas de tout faire en m\\xEAme temps, et ne sautez pas directement \\xE0 l'\\xE9tape spectaculaire de la fin.\"}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"1. D\\xE9connectez ce Mac du r\\xE9seau.\"}),\" D\\xE9sactivez le Wi-Fi, d\\xE9branchez l'Ethernet. Les stealers exfiltrent par le r\\xE9seau, donc couper la connexion limite ce qui peut encore sortir. C'est la seule \\xE9tape o\\xF9 la rapidit\\xE9 compte vraiment.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"2. Ne red\\xE9marrez pas dans la panique, et ne commencez pas \\xE0 supprimer des choses au hasard.\"}),\" Un red\\xE9marrage ne supprime pas la persistance et peut d\\xE9truire des indices utiles sur ce qui s'est produit. Respirez. Les \\xE9tapes suivantes comptent plus que les soixante prochaines secondes.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"3. Changez vos mots de passe depuis un autre appareil, de confiance.\"}),\" C'est l'\\xE9tape que les gens ratent, et la rater annule tout le reste. Si vous changez vos mots de passe sur le Mac potentiellement compromis, vous saisissez les nouveaux mots de passe dans la machine qui est peut-\\xEAtre encore en train de vous observer. Utilisez un t\\xE9l\\xE9phone, une tablette ou un autre ordinateur qui n'a jamais touch\\xE9 \\xE0 l'incident. L'ordre compte : d'abord le compte Apple, puis le mot de passe principal de votre gestionnaire de mots de passe, puis la messagerie, puis les comptes financiers, puis tout le reste.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"4. Consid\\xE9rez tout ce qui se trouve dans votre trousseau comme expos\\xE9 et renouvelez-le.\"}),\" Huntress a d\\xE9crit le trousseau Apple comme une cible explicite. Cela veut dire les mots de passe Wi-Fi, les identifiants d'applications, les identifiants enregistr\\xE9s et les notes s\\xE9curis\\xE9es. C'est fastidieux. Donnez la priorit\\xE9 \\xE0 tout ce qui prot\\xE8ge de l'argent, une identit\\xE9, ou l'acc\\xE8s \\xE0 d'autres comptes.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"5. R\\xE9voquez les sessions actives partout o\\xF9 c'est possible.\"}),\" Les cookies vol\\xE9s permettent \\xE0 un attaquant de contourner enti\\xE8rement votre mot de passe, si bien que changer un mot de passe sans mettre fin aux sessions existantes peut laisser l'attaquant connect\\xE9. La plupart des grands services disposent d'une commande de d\\xE9connexion de tous les appareils ou d'une gestion des sessions actives. Utilisez-la apr\\xE8s avoir chang\\xE9 chaque mot de passe.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"6. D\\xE9placez vos cryptomonnaies vers un nouveau portefeuille dont la phrase secr\\xE8te a \\xE9t\\xE9 g\\xE9n\\xE9r\\xE9e sur un appareil sain.\"}),\" Si un portefeuille se trouvait sur ce Mac, la phrase secr\\xE8te est compromise, et g\\xE9n\\xE9rer un nouveau portefeuille sur la m\\xEAme machine reproduit le probl\\xE8me. G\\xE9n\\xE9rez-la sur un appareil auquel vous faites confiance, puis transf\\xE9rez les fonds. Et, conform\\xE9ment \\xE0 la conception de \",(0,n.jsx)(e.code,{children:\"DRAIN_PCT\"}),\" d\\xE9crite par Huntress, ne laissez pas un solde d'apparence correcte vous en dissuader.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"7. V\\xE9rifiez les ouvertures de session et les \\xE9l\\xE9ments en arri\\xE8re-plan.\"}),\" Dans R\\xE9glages Syst\\xE8me, sous G\\xE9n\\xE9ral, passez en revue les ouvertures de session et la liste des \\xE9l\\xE9ments en arri\\xE8re-plan \\xE0 la recherche de tout ce que vous ne reconnaissez pas ou ne pouvez pas expliquer.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"8. V\\xE9rifiez les profils de configuration.\"}),\" Dans R\\xE9glages Syst\\xE8me, sous G\\xE9n\\xE9ral puis Gestion des appareils, cherchez des profils que vous n'avez pas install\\xE9s. Un profil que vous n'avez pas mis l\\xE0 est une d\\xE9couverte s\\xE9rieuse, puisque les profils peuvent modifier largement le comportement du syst\\xE8me.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"9. Lancez un antivirus r\\xE9put\\xE9.\"}),\" Un antivirus est utile pour rep\\xE9rer des familles connues et comme second avis, m\\xEAme s'il est le plus faible face \\xE0 des charges utiles v\\xE9ritablement in\\xE9dites. Notre \",(0,n.jsx)(e.a,{href:\"/blog/best-antivirus-for-mac-2026-complete-security-guide\",children:\"guide des solutions antivirus pour Mac\"}),\" explique ce que ces outils d\\xE9tectent r\\xE9ellement et ce qu'ils ne d\\xE9tectent pas.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"10. Comprenez que seul un effacement complet r\\xE8gle vraiment le probl\\xE8me.\"}),\" C'est la partie honn\\xEAte. Effacer le Mac et r\\xE9installer macOS, puis restaurer les donn\\xE9es depuis une sauvegarde ant\\xE9rieure \\xE0 l'incident, est la seule rem\\xE9diation qui vous ram\\xE8ne v\\xE9ritablement \\xE0 un \\xE9tat sain connu. Tout ce qui est en de\\xE7\\xE0 revient \\xE0 d\\xE9cider que le nettoyage a probablement \\xE9t\\xE9 assez minutieux. Attention aux restaurations : restaurer des applications ou des r\\xE9glages syst\\xE8me depuis une sauvegarde post\\xE9rieure \\xE0 l'incident peut ramener le probl\\xE8me directement avec elle. Restaurez les documents ; r\\xE9installez les applications depuis leurs sources.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"11. Surveillez vos comptes plus longtemps que n\\xE9cessaire en apparence.\"}),\" \\xC9tant donn\\xE9 qu'un Mac sous surveillance dans les recherches de Huntress est rest\\xE9 compromis environ trois mois avant d\\xE9tection, une semaine calme ne signifie pas grand-chose. Gardez un \\u0153il sur les comptes financiers et sur les r\\xE8gles de transfert de courrier, qui constituent une astuce de persistance favorite, pendant un bon moment ensuite.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[\"Si d\\xE9rouler cette liste vous a donn\\xE9 envie d'une passe de durcissement plus large, notre \",(0,n.jsx)(e.a,{href:\"/blog/mac-security-privacy-guide-2026\",children:\"guide de s\\xE9curit\\xE9 et de confidentialit\\xE9 pour Mac\"}),\" couvre les r\\xE9glages qui m\\xE9ritent d'\\xEAtre modifi\\xE9s tant que rien n'est en feu.\"]}),`\n`,(0,n.jsx)(e.h2,{id:\"ce-que-ces-protections-ne-couvrent-pas\",children:\"Ce que ces protections ne couvrent pas\"}),`\n`,(0,n.jsx)(e.p,{children:\"\\xCAtre clair sur les limites n'est pas du pessimisme. C'est la diff\\xE9rence entre une d\\xE9fense sur laquelle vous pouvez compter et un faux sentiment de s\\xE9curit\\xE9 qui finit par vous nuire.\"}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Ce ne sont pas des antivirus.\"}),\" Ce sont des protections cibl\\xE9es visant une seule technique de diffusion. Ce ne sont pas des scanners de logiciels malveillants \\xE0 usage g\\xE9n\\xE9ral, elles ne surveillent pas votre syst\\xE8me entier en continu comme le ferait un produit de s\\xE9curit\\xE9, et elles n'ont jamais \\xE9t\\xE9 con\\xE7ues pour cela.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Elles n'inspectent pas ce que vous tapez \\xE0 la main.\"}),\" Terminal Paste Protection concerne le collage. Si un attaquant vous convainc de taper une commande manuellement, caract\\xE8re par caract\\xE8re, l'avertissement de collage n'a rien sur quoi agir. Le blocage des commandes issues du presse-papiers surveille toujours le comportement du processus r\\xE9sultant, mais le ralentisseur destin\\xE9 \\xE0 l'humain a disparu.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Elles n'aident pas face \\xE0 un programme d'installation t\\xE9l\\xE9charg\\xE9 normalement.\"}),\" Si vous t\\xE9l\\xE9chargez un DMG ou un PKG et que vous l'ex\\xE9cutez de mani\\xE8re ordinaire, vous \\xEAtes sur le terrain de Gatekeeper et de la notarisation, pas sur celui du collage dans Terminal. Ce sont des m\\xE9canismes diff\\xE9rents avec des modes de d\\xE9faillance diff\\xE9rents, que nous avons trait\\xE9s dans notre article sur \",(0,n.jsx)(e.a,{href:\"/blog/app-is-damaged-cant-be-opened-macos-tahoe-gatekeeper-quarantine-fix-2026\",children:\"l'erreur \\xAB l'app est endommag\\xE9e \\xBB et la quarantaine Gatekeeper\"}),\".\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Une attaque in\\xE9dite ne correspondra \\xE0 aucune signature connue.\"}),\" La correspondance de signatures attrape par d\\xE9finition ce qui a d\\xE9j\\xE0 \\xE9t\\xE9 observ\\xE9. L'\\xE9valuation comportementale et les v\\xE9rifications Safe Browsing \\xE9tendent cette port\\xE9e, mais une charge utile r\\xE9ellement nouvelle utilisant une infrastructure r\\xE9ellement nouvelle peut passer \\xE0 travers tout cela. L'absence d'avertissement n'est pas une preuve d'innocuit\\xE9.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"L'avertissement de collage ne se d\\xE9clenche pas pour la plupart des gens.\"}),\" C'est voulu. Les conditions document\\xE9es excluent quiconque a ouvert Terminal au cours des 30 derniers jours ou dispose d'un outillage de d\\xE9veloppement install\\xE9. Si vous \\xEAtes d\\xE9veloppeur et supposiez que cette protection vous couvrait, ce n'est pas le cas, et c'est intentionnel.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Les terminaux tiers n'affichent pas l'avertissement.\"}),\" Trait\\xE9 plus haut, mais il vaut la peine de le r\\xE9p\\xE9ter dans une section sur les limites, car c'est l'hypoth\\xE8se la plus susceptible de nuire \\xE0 quelqu'un.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Rien de tout cela ne traite la cause profonde.\"}),\" La cause profonde, c'est qu'un inconnu vous a persuad\\xE9 d'ex\\xE9cuter son code. Un logiciel peut interrompre cela. Il ne peut pas d\\xE9cider \\xE0 votre place.\"]}),`\n`,(0,n.jsx)(e.h2,{id:\"r\\xE9solution-des-probl\\xE8mes-courants\",children:\"R\\xE9solution des probl\\xE8mes courants\"}),`\n`,(0,n.jsx)(e.h3,{id:\"une-commande-dinstallation-l\\xE9gitime-est-bloqu\\xE9e\",children:\"Une commande d'installation l\\xE9gitime est bloqu\\xE9e\"}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Problem :\"}),\" Vous installez un vrai logiciel depuis sa documentation officielle, et le collage est bloqu\\xE9 ou fait l'objet d'un avertissement.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Solution :\"}),\" D'abord, confirmez la l\\xE9gitimit\\xE9 de mani\\xE8re ind\\xE9pendante plut\\xF4t que de la supposer, puisque tout l'int\\xE9r\\xEAt de l'attaque est de para\\xEEtre l\\xE9gitime. Recherchez le projet vous-m\\xEAme, naviguez jusqu'\\xE0 son site ou son d\\xE9p\\xF4t officiel, et comparez la commande d'installation publi\\xE9e \\xE0 celle que vous d\\xE9tenez. Si elles correspondent et que vous avez atteint la documentation par votre propre navigation, il s'agit vraisemblablement d'un faux positif heuristique et la possibilit\\xE9 de passer outre existe exactement pour ce cas. Si l'alerte ne propose aucun contournement, ne le contournez pas, car une alerte sans contournement indique une correspondance avec une menace connue plut\\xF4t qu'une supposition heuristique. Envisagez d'installer via le paquet ou le programme d'installation du projet plut\\xF4t que par la m\\xE9thode du collage.\"]}),`\n`,(0,n.jsx)(e.h3,{id:\"lalerte-na-pas-de-bouton-de-contournement\",children:\"L'alerte n'a pas de bouton de contournement\"}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Problem :\"}),\" Il n'y a aucune option Paste Anyway ni aucun moyen \\xE9vident de continuer.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Solution :\"}),\" Consid\\xE9rez cela comme le r\\xE9sultat voulu, pas comme un bug. La presse sp\\xE9cialis\\xE9e associe l'alerte sans contournement \\xE0 une correspondance avec une signature de logiciel malveillant connu, et Apple documente que les scripts ex\\xE9cut\\xE9s depuis la m\\xE9moire ne peuvent pas \\xEAtre d\\xE9bloqu\\xE9s du tout. Ne retapez pas la commande \\xE0 la main, n'essayez pas un autre terminal, et ne d\\xE9sactivez rien. Fermez la source qui vous a donn\\xE9 la commande et traitez cette source comme hostile. Si une partie s'est ex\\xE9cut\\xE9e avant que le blocage n'intervienne, lancez le plan d'action ci-dessus, en commen\\xE7ant par la d\\xE9connexion du r\\xE9seau.\"]}),`\n`,(0,n.jsx)(e.h3,{id:\"lalerte-revient-sans-cesse-pour-la-m\\xEAme-commande\",children:\"L'alerte revient sans cesse pour la m\\xEAme commande\"}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Problem :\"}),\" Vous \\xE9cartez l'alerte, vous r\\xE9essayez, et elle revient \\xE0 chaque fois.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Solution :\"}),\" Ces protections ne tiennent pas de liste d'autorisation par commande, il n'y a donc aucune d\\xE9cision m\\xE9moris\\xE9e qui puisse s'accumuler. Des alertes r\\xE9p\\xE9t\\xE9es signifient des \\xE9valuations r\\xE9p\\xE9t\\xE9es aboutissant \\xE0 la m\\xEAme conclusion, ce qui est une information et non un dysfonctionnement. S'il s'agit de l'avertissement heuristique et que vous avez correctement v\\xE9rifi\\xE9 la source, le contournement s'applique \\xE0 chaque tentative. S'il s'agit de l'alerte de menace connue, la r\\xE9p\\xE9tition est le syst\\xE8me qui vous redit la m\\xEAme chose vraie. Si vous avez r\\xE9ellement besoin du logiciel, installez-le autrement : un paquet d'installation sign\\xE9, un gestionnaire de paquets auquel vous faites d\\xE9j\\xE0 confiance, ou la version de l'App Store s'il en existe une.\"]}),`\n`,(0,n.jsx)(e.h3,{id:\"rien-ne-sest-coll\\xE9-du-tout-et-vous-ne-savez-pas-si-c\\xE9tait-bloqu\\xE9\",children:\"Rien ne s'est coll\\xE9 du tout et vous ne savez pas si c'\\xE9tait bloqu\\xE9\"}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Problem :\"}),\" Vous avez appuy\\xE9 sur Commande-V, rien n'est apparu, et aucune alerte n'est visible.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Solution :\"}),\" \\xC9cartez d'abord les causes banales. V\\xE9rifiez que Terminal a bien le focus clavier, confirmez que la copie a r\\xE9ussi en collant dans un \\xE9diteur de texte brut, et regardez si une alerte s'est ouverte derri\\xE8re une autre fen\\xEAtre ou sur un autre \\xE9cran. Si le texte se colle sans probl\\xE8me dans un \\xE9diteur de texte mais pas dans Terminal, une protection est un suspect raisonnable, et l'\\xE9diteur de texte vous offre d\\xE9sormais l'occasion de lire ce que vous vous appr\\xEAtiez \\xE0 ex\\xE9cuter. Lisez-le l\\xE0 avant de r\\xE9essayer. Si le collage a fonctionn\\xE9 mais que rien ne semble s'\\xEAtre produit apr\\xE8s votre appui sur Retour, consid\\xE9rez qu'il peut s'agir d'un blocage de commande issue du presse-papiers et v\\xE9rifiez dans le Moniteur d'activit\\xE9 s'il y a des processus inconnus.\"]}),`\n`,(0,n.jsx)(e.h3,{id:\"vous-\\xEAtes-d\\xE9veloppeur-et-vous-voulez-que-les-invites-cessent\",children:\"Vous \\xEAtes d\\xE9veloppeur et vous voulez que les invites cessent\"}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Problem :\"}),\" L'avertissement de collage interrompt votre travail normal.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Solution :\"}),\" Honn\\xEAtement : Apple n'expose aucun interrupteur pour ces protections dans l'interface utilisateur, et cet article ne va pas d\\xE9crire une mani\\xE8re de les mettre en \\xE9chec. Le comportement document\\xE9 r\\xE9sout pourtant d\\xE9j\\xE0 votre probl\\xE8me. L'avertissement de collage ne se d\\xE9clenche que si l'utilisateur n'a pas ouvert Terminal depuis plus de 30 jours \",(0,n.jsx)(e.em,{children:\"et\"}),\" qu'aucun outillage de d\\xE9veloppement courant n'est d\\xE9tect\\xE9 \",(0,n.jsx)(e.em,{children:\"et\"}),\" que le collage provient d'une application sp\\xE9cifique. Si vous le rencontrez r\\xE9guli\\xE8rement, la question utile est de savoir pourquoi votre machine ne ressemble pas \\xE0 une machine de d\\xE9veloppement aux yeux du syst\\xE8me. Disposer d'un outillage de d\\xE9veloppement normal et utiliser Terminal dans le cadre de votre flux de travail habituel est la voie de sortie pr\\xE9vue pour cette invite, et non un r\\xE9glage cach\\xE9.\"]}),`\n`,(0,n.jsx)(e.h3,{id:\"vous-avez-d\\xE9j\\xE0-cliqu\\xE9-sur-paste-anyway-et-vous-le-regrettez\",children:\"Vous avez d\\xE9j\\xE0 cliqu\\xE9 sur Paste Anyway et vous le regrettez\"}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Problem :\"}),\" Vous avez pass\\xE9 outre l'avertissement, la commande s'est ex\\xE9cut\\xE9e, et ensuite vous avez commenc\\xE9 \\xE0 douter de la source.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Solution :\"}),\" Rendez-vous au plan d'action ci-dessus et commencez \\xE0 l'\\xE9tape un, la d\\xE9connexion du Mac du r\\xE9seau. N'attendez pas un sympt\\xF4me visible, car le logiciel malveillant d\\xE9crit dans les recherches de Huntress a \\xE9t\\xE9 sp\\xE9cifiquement con\\xE7u pour n'en produire aucun, y compris avec une fonction de siphonnage de cryptomonnaies r\\xE9glable jusqu'\\xE0 1 % d'un solde. Changez d'abord vos identifiants depuis un autre appareil. Passer outre l'avertissement ne d\\xE9sactive pas le blocage des commandes issues du presse-papiers, il est donc possible que le processus ait tout de m\\xEAme \\xE9t\\xE9 arr\\xEAt\\xE9 ensuite, mais vous ne devriez pas le supposer sans preuve.\"]}),`\n`,(0,n.jsx)(e.h2,{id:\"faq\",children:\"FAQ\"}),`\n`,(0,n.jsx)(e.h3,{id:\"quelles-versions-de-macos-disposent-de-ces-protections-\",children:\"Quelles versions de macOS disposent de ces protections ?\"}),`\n`,(0,n.jsx)(e.p,{children:\"La documentation Platform Security d'Apple d\\xE9crit Terminal Paste Protection, le blocage des commandes issues du presse-papiers et l'analyse AppleScript comme introduits dans macOS 26.4 ou version ult\\xE9rieure. Les versions ant\\xE9rieures ne les poss\\xE8dent pas. Si vous utilisez une version plus ancienne et que vous collez des commandes dans Terminal, rien de ce qui est d\\xE9crit ici ne s'applique \\xE0 votre machine.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"est-ce-que-cela-fonctionne-dans-iterm2-warp-ou-ghostty-\",children:\"Est-ce que cela fonctionne dans iTerm2, Warp ou Ghostty ?\"}),`\n`,(0,n.jsx)(e.p,{children:\"En partie. Apple documente l'avertissement de collage comme une fonctionnalit\\xE9 de l'app Terminal, donc les terminaux tiers ne l'affichent pas \\xE0 moins que leurs d\\xE9veloppeurs ne construisent un \\xE9quivalent. Mais Apple indique que le blocage des commandes issues du presse-papiers couvre n'importe quel \\xE9mulateur de terminal, y compris les applications tierces, car XProtect suit l'arborescence de processus r\\xE9sultante. Vous perdez l'avertissement, vous conservez le filet de s\\xE9curit\\xE9.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"puis-je-d\\xE9sactiver-ces-protections-\",children:\"Puis-je d\\xE9sactiver ces protections ?\"}),`\n`,(0,n.jsx)(e.p,{children:\"Apple n'expose aucun interrupteur pour elles dans l'interface utilisateur, et cet article ne d\\xE9crira pas de contournements. Si vous \\xEAtes d\\xE9veloppeur et que vous rencontrez des faux positifs, les conditions de d\\xE9clenchement document\\xE9es sont votre r\\xE9ponse : l'avertissement de collage ne se d\\xE9clenche pas sur les machines o\\xF9 un outillage de d\\xE9veloppement courant est pr\\xE9sent ni sur celles o\\xF9 Terminal a \\xE9t\\xE9 ouvert au cours des 30 derniers jours.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"paste-anyway-est-il-parfois-le-bon-choix-\",children:\"Paste Anyway est-il parfois le bon choix ?\"}),`\n`,(0,n.jsx)(e.p,{children:\"Oui, dans une situation : vous avez cherch\\xE9 le logiciel vous-m\\xEAme, vous avez atteint sa documentation officielle par votre propre navigation, et la commande correspond \\xE0 ce que le projet publie. C'est un v\\xE9ritable sc\\xE9nario de faux positif et le contournement existe pour cela. Si une page que vous n'aviez pas cherch\\xE9e vous a tendu la commande, la r\\xE9ponse est non.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"si-rien-na-\\xE9t\\xE9-bloqu\\xE9-cela-veut-il-dire-que-la-commande-est-s\\xFBre-\",children:\"Si rien n'a \\xE9t\\xE9 bloqu\\xE9, cela veut-il dire que la commande est s\\xFBre ?\"}),`\n`,(0,n.jsx)(e.p,{children:\"Non. Ces protections attrapent des signatures connues et des sch\\xE9mas comportementaux reconnus, donc une attaque v\\xE9ritablement in\\xE9dite utilisant une nouvelle infrastructure peut passer sans rien d\\xE9clencher. Le silence n'est pas une caution. La r\\xE8gle de d\\xE9cision de cet article, en particulier la question de savoir si vous \\xEAtes all\\xE9 chercher la commande, reste votre d\\xE9fense principale.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"comment-saurais-je-seulement-si-quelque-chose-est-pass\\xE9-\",children:\"Comment saurais-je seulement si quelque chose est pass\\xE9 ?\"}),`\n`,(0,n.jsx)(e.p,{children:\"Souvent, vous ne le sauriez pas, et c'est la partie inconfortable. Huntress a rapport\\xE9 un Mac sous surveillance compromis environ trois mois avant d\\xE9tection, et a d\\xE9crit une fonction de siphonnage de cryptomonnaies configurable jusqu'\\xE0 1 % pr\\xE9cis\\xE9ment pour que les victimes ne remarquent rien. V\\xE9rifiez les ouvertures de session, les profils de configuration et les sessions de vos comptes plut\\xF4t que d'attendre un sympt\\xF4me.\"}),`\n`,(0,n.jsx)(e.h2,{id:\"conclusion\",children:\"Conclusion\"}),`\n`,(0,n.jsx)(e.p,{children:\"Votre Mac a bloqu\\xE9 un collage. C'est un petit \\xE9v\\xE9nement banal qui se r\\xE9v\\xE8le parfois \\xEAtre la chose la plus importante qui soit arriv\\xE9e \\xE0 votre machine cette ann\\xE9e-l\\xE0.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Le bon mod\\xE8le mental est celui des couches. Terminal Paste Protection est la couche humaine, une interruption d\\xE9lib\\xE9r\\xE9ment \\xE9troite visant les gens qui n'utilisent pas normalement Terminal et viennent de copier quelque chose depuis un navigateur ou un message. Le blocage des commandes issues du presse-papiers est la couche machine, op\\xE9rant au niveau de XProtect sur l'arborescence de processus r\\xE9sultante, dans n'importe quel \\xE9mulateur de terminal, y compris tiers. L'analyse d'AppleScript et de JXA couvre la voie des scripts, avec des contournements possibles pour les scripts sous forme de fichier et aucun pour les scripts ex\\xE9cut\\xE9s depuis la m\\xE9moire. Chaque couche part du principe que les autres pourraient \\xE9chouer, ce qui est l'hypoth\\xE8se correcte.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Mais ces protections sont \\xE9troites, et le r\\xE9sum\\xE9 honn\\xEAte de leurs limites est le suivant : ce ne sont pas des antivirus, elles ne lisent pas ce que vous tapez \\xE0 la main, elles n'attrapent pas une charge utile in\\xE9dite sans signature connue, et par conception elles ne se d\\xE9clencheront jamais pour la plupart des d\\xE9veloppeurs. L'attaque qu'elles existent pour stopper, quant \\xE0 elle, est bien financ\\xE9e et bien con\\xE7ue. Microsoft Threat Intelligence a rapport\\xE9 plus de 250 domaines de fa\\xE7ade prenant l'empreinte des visiteurs et traquant les chercheurs. Huntress a d\\xE9crit un stealer visant le trousseau Apple avec une fonction de vol r\\xE9gl\\xE9e pour rester sous le seuil de perception.\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"Ce qui nous ram\\xE8ne \\xE0 la seule chose qu'un logiciel ne peut pas faire \\xE0 votre place. Avant de coller quoi que ce soit dans un terminal, r\\xE9pondez \\xE0 une question : \",(0,n.jsx)(e.strong,{children:\"suis-je all\\xE9 chercher cette commande, ou quelque chose m'a-t-il dit de l'ex\\xE9cuter ?\"}),\" Si vous \\xEAtes all\\xE9 la chercher, v\\xE9rifiez que le domaine est bien celui du projet et que la commande correspond \\xE0 ce que le projet publie, puis poursuivez. Si quelque chose vous l'a dite, la r\\xE9ponse par d\\xE9faut est non, et la charge de la preuve incombe \\xE0 ce qui vous l'a dite. Cette question prend cinq secondes, elle fonctionne sur toutes les variantes de cette attaque, pass\\xE9es et futures, et elle ne vous demande pas de lire une seule ligne de shell.\"]}),`\n`,(0,n.jsx)(e.p,{children:\"Si une commande s'est d\\xE9j\\xE0 ex\\xE9cut\\xE9e, ne partez pas en vrille. D\\xE9connectez-vous du r\\xE9seau, changez vos identifiants depuis un autre appareil, renouvelez tout ce qui se trouve dans le trousseau, d\\xE9placez vos cryptomonnaies vers un portefeuille g\\xE9n\\xE9r\\xE9 sur une machine saine, et planifiez l'effacement complet. L'attaque est con\\xE7ue pour \\xEAtre convaincante. Se faire avoir n'est pas un d\\xE9faut de caract\\xE8re, et la r\\xE9cup\\xE9ration est une liste, pas une catastrophe.\"}),`\n`,(0,n.jsx)(e.p,{children:(0,n.jsxs)(e.em,{children:[\"\\xC0 lire \\xE9galement : \",(0,n.jsx)(e.a,{href:\"/blog/fake-mac-crash-report-password-prompt-crashstealer-malware-protection-2026\",children:\"Un faux rapport de plantage Mac vous demande votre mot de passe ? Ne le saisissez pas\"})]})})]})}function d(t={}){let{wrapper:e}=t.components||{};return e?(0,n.jsx)(e,{...t,children:(0,n.jsx)(c,{...t})}):c(t)}return z(x);})();\n;return Component;","toc":[{"title":"Points clés à retenir","url":"#points-clés-à-retenir","depth":2},{"title":"Les trois protections, et celle que vous venez de déclencher","url":"#les-trois-protections-et-celle-que-vous-venez-de-déclencher","depth":2},{"title":"Protection 1 : Terminal Paste Protection","url":"#protection-1--terminal-paste-protection","depth":3},{"title":"Protection 2 : blocage des commandes issues du presse-papiers","url":"#protection-2--blocage-des-commandes-issues-du-presse-papiers","depth":3},{"title":"Protection 3 : analyse d'AppleScript et de JXA","url":"#protection-3--analyse-dapplescript-et-de-jxa","depth":3},{"title":"Faire correspondre l'alerte que vous avez vue à la protection déclenchée","url":"#faire-correspondre-lalerte-que-vous-avez-vue-à-la-protection-déclenchée","depth":3},{"title":"Décrypter chaque alerte","url":"#décrypter-chaque-alerte","depth":2},{"title":"Possible malware, Paste blocked (logiciel malveillant possible, collage bloqué)","url":"#possible-malware-paste-blocked-logiciel-malveillant-possible-collage-bloqué","depth":3},{"title":"Malware Detected, Paste Blocked (logiciel malveillant détecté, collage bloqué)","url":"#malware-detected-paste-blocked-logiciel-malveillant-détecté-collage-bloqué","depth":3},{"title":"Malicious Script Blocked (script malveillant bloqué)","url":"#malicious-script-blocked-script-malveillant-bloqué","depth":3},{"title":"Ce que fait réellement un contournement","url":"#ce-que-fait-réellement-un-contournement","depth":3},{"title":"Pourquoi vous avez eu l'invite alors que votre ami développeur ne l'a jamais","url":"#pourquoi-vous-avez-eu-linvite-alors-que-votre-ami-développeur-ne-la-jamais","depth":2},{"title":"La condition des 30 jours","url":"#la-condition-des-30-jours","depth":3},{"title":"La condition de l'outillage de développement","url":"#la-condition-de-loutillage-de-développement","depth":3},{"title":"La condition de l'application source","url":"#la-condition-de-lapplication-source","depth":3},{"title":"Pourquoi ce ciblage est le bon choix de conception","url":"#pourquoi-ce-ciblage-est-le-bon-choix-de-conception","depth":3},{"title":"La question d'iTerm2, Warp et Ghostty","url":"#la-question-diterm2-warp-et-ghostty","depth":2},{"title":"Ce qu'est réellement ClickFix","url":"#ce-quest-réellement-clickfix","depth":2},{"title":"Pourquoi cela marche sur des gens prudents","url":"#pourquoi-cela-marche-sur-des-gens-prudents","depth":3},{"title":"Les recherches de Microsoft Threat Intelligence, et pourquoi elles changent votre façon d'évaluer les liens","url":"#les-recherches-de-microsoft-threat-intelligence-et-pourquoi-elles-changent-votre-façon-dévaluer-les-liens","depth":3},{"title":"Ce qui est réellement en jeu","url":"#ce-qui-est-réellement-en-jeu","depth":2},{"title":"Le trousseau est tout l'enjeu","url":"#le-trousseau-est-tout-lenjeu","depth":3},{"title":"La fonction DRAIN et la conception à 1 %","url":"#la-fonction-drain-et-la-conception-à-1-","depth":3},{"title":"Trois mois","url":"#trois-mois","depth":3},{"title":"Une règle de décision réellement utilisable","url":"#une-règle-de-décision-réellement-utilisable","depth":2},{"title":"Question 1 : suis-je allé chercher cela, ou quelque chose m'a-t-il dit de l'exécuter ?","url":"#question-1--suis-je-allé-chercher-cela-ou-quelque-chose-ma-t-il-dit-de-lexécuter-","depth":3},{"title":"Question 2 : est-ce que je sais ce que fait chaque partie de cette commande ?","url":"#question-2--est-ce-que-je-sais-ce-que-fait-chaque-partie-de-cette-commande-","depth":3},{"title":"Question 3 : est-ce qu'elle redirige un téléchargement directement dans un shell ?","url":"#question-3--est-ce-quelle-redirige-un-téléchargement-directement-dans-un-shell-","depth":3},{"title":"Question 4 : est-ce qu'elle demande sudo et mon mot de passe ?","url":"#question-4--est-ce-quelle-demande-sudo-et-mon-mot-de-passe-","depth":3},{"title":"Question 5 : la source est-elle la documentation officielle du projet, atteinte par ma propre navigation ?","url":"#question-5--la-source-est-elle-la-documentation-officielle-du-projet-atteinte-par-ma-propre-navigation-","depth":3},{"title":"Comment lire une commande avant de l'exécuter","url":"#comment-lire-une-commande-avant-de-lexécuter","depth":3},{"title":"Pourquoi les installateurs à la Homebrew ressemblent trait pour trait à l'attaque","url":"#pourquoi-les-installateurs-à-la-homebrew-ressemblent-trait-pour-trait-à-lattaque","depth":2},{"title":"Que faire si vous avez déjà collé et exécuté quelque chose","url":"#que-faire-si-vous-avez-déjà-collé-et-exécuté-quelque-chose","depth":2},{"title":"Ce que ces protections ne couvrent pas","url":"#ce-que-ces-protections-ne-couvrent-pas","depth":2},{"title":"Résolution des problèmes courants","url":"#résolution-des-problèmes-courants","depth":2},{"title":"Une commande d'installation légitime est bloquée","url":"#une-commande-dinstallation-légitime-est-bloquée","depth":3},{"title":"L'alerte n'a pas de bouton de contournement","url":"#lalerte-na-pas-de-bouton-de-contournement","depth":3},{"title":"L'alerte revient sans cesse pour la même commande","url":"#lalerte-revient-sans-cesse-pour-la-même-commande","depth":3},{"title":"Rien ne s'est collé du tout et vous ne savez pas si c'était bloqué","url":"#rien-ne-sest-collé-du-tout-et-vous-ne-savez-pas-si-cétait-bloqué","depth":3},{"title":"Vous êtes développeur et vous voulez que les invites cessent","url":"#vous-êtes-développeur-et-vous-voulez-que-les-invites-cessent","depth":3},{"title":"Vous avez déjà cliqué sur Paste Anyway et vous le regrettez","url":"#vous-avez-déjà-cliqué-sur-paste-anyway-et-vous-le-regrettez","depth":3},{"title":"FAQ","url":"#faq","depth":2},{"title":"Quelles versions de macOS disposent de ces protections ?","url":"#quelles-versions-de-macos-disposent-de-ces-protections-","depth":3},{"title":"Est-ce que cela fonctionne dans iTerm2, Warp ou Ghostty ?","url":"#est-ce-que-cela-fonctionne-dans-iterm2-warp-ou-ghostty-","depth":3},{"title":"Puis-je désactiver ces protections ?","url":"#puis-je-désactiver-ces-protections-","depth":3},{"title":"Paste Anyway est-il parfois le bon choix ?","url":"#paste-anyway-est-il-parfois-le-bon-choix-","depth":3},{"title":"Si rien n'a été bloqué, cela veut-il dire que la commande est sûre ?","url":"#si-rien-na-été-bloqué-cela-veut-il-dire-que-la-commande-est-sûre-","depth":3},{"title":"Comment saurais-je seulement si quelque chose est passé ?","url":"#comment-saurais-je-seulement-si-quelque-chose-est-passé-","depth":3},{"title":"Conclusion","url":"#conclusion","depth":2}],"estimatedTime":47}