Faux rapport de plantage Mac qui réclame votre mot de passe ? Ne le saisissez pas

Votre Mac affiche soudain une fenêtre qui ressemble trait pour trait à un rapport de plantage système, et elle réclame votre mot de passe de session avant de vouloir disparaître. Ne le saisissez pas. En juillet 2026, Jamf Threat Labs a publié l'analyse d'un infostealer macOS baptisé CrashStealer, qui fait exactement cela : il se fait passer pour un outil système macOS ordinaire et récolte le mot de passe que vous lui confiez. Si vous avez déjà saisi le vôtre, allez directement à la procédure détaillée plus bas dans cette page et déroulez-la point par point.

Il ne s'agit pas ici d'une faille zero-day exotique. Rien n'a été piraté, aucune faille de sécurité n'a été exploitée, et aucune mise à jour n'aurait empêché cela. Toute l'attaque repose sur un seul ressort : la plupart des utilisateurs de Mac ont été entraînés, au fil d'années d'usage parfaitement légitime, à saisir leur mot de passe dans n'importe quelle fenêtre qui semble provenir de macOS. CrashStealer dessine une fenêtre convaincante, et l'utilisateur fait le reste.

C'est donc un problème que vous pouvez réellement résoudre par la connaissance plutôt que par un logiciel. Vous trouverez ci-dessous deux choses absentes de la plupart des articles sur le sujet : une méthode pratique pour distinguer une véritable demande d'autorisation macOS d'une imitation dessinée par une application, et une procédure calme et ordonnée pour le moment où vous réalisez que vous avez déjà saisi votre mot de passe dans l'une d'elles. La première partie traite de la prévention. La seconde traite de la limitation des dégâts à 2 h du matin, car c'est en général à ce moment-là que les gens s'en rendent compte.

Points clés à retenir

• Le véritable rapporteur de plantage de macOS ne demande jamais votre mot de passe. Si une fenêtre qui prétend être un rapport de plantage, un outil de diagnostic ou un programme de mise à jour système réclame votre mot de passe de session, cette fenêtre a été dessinée par une application, pas par macOS.
• Le contexte l'emporte sur les pixels. Un attaquant déterminé peut produire un faux parfait au pixel près. Ce qu'il ne peut pas falsifier, c'est la raison d'apparition d'une véritable demande : les vraies boîtes de dialogue d'autorisation macOS font suite à une action que vous venez d'effectuer. Une demande qui surgit de nulle part est le signal d'alarme le plus fiable dont vous disposez.
• La notarisation n'est pas un audit de sécurité. Jamf Threat Labs a rapporté que l'application distribuant CrashStealer était signée et notarisée avec un Apple Developer ID valide, ce qui explique qu'elle soit passée devant Gatekeeper. Apple a depuis révoqué le certificat, mais une révocation relève du nettoyage, pas de la prévention.
• Si vous avez saisi votre mot de passe, considérez que le login Keychain est perdu lui aussi. Jamf a rapporté que le malware vérifie localement le mot de passe saisi et, s'il est correct, peut s'en servir pour déverrouiller le login Keychain et atteindre bien plus que ce que vous avez tapé.
• L'ordre de récupération compte. Depuis un autre appareil, de confiance : d'abord le mot de passe de l'Apple Account, puis le mot de passe maître de votre gestionnaire de mots de passe, puis la messagerie, puis l'argent, puis tout le reste. Considérez les phrases de récupération crypto comme définitivement grillées.

Ce que Jamf Threat Labs a réellement rapporté

Jamf Threat Labs a publié son analyse de CrashStealer à la mi-juillet 2026, et elle a été reprise dans les jours suivants par 9to5Mac, MacRumors, Help Net Security, Malwarebytes, Infosecurity Magazine et SecureMac. Il vaut la peine de distinguer ce qui a effectivement été rapporté de ce qui a depuis été paraphrasé en avertissements plus vagues.

La livraison : une image disque qui n'est pas celle que vous cherchiez

D'après le compte rendu de Jamf, le malware arrive à l'intérieur d'une image disque nommée Werkbit Setup. La victime monte le DMG et installe ce qu'elle croit être le logiciel qu'elle était allée chercher. Rien à ce stade ne paraît alarmant, car à ce stade rien ne demande quoi que ce soit d'inhabituel.

Le détail important ici, c'est la discordance. Vous avez cherché une chose ; l'image disque qui a atterri dans votre dossier Téléchargements porte un autre nom. Cet écart est l'un des rares signaux fiables disponibles avant que quoi que ce soit ne s'exécute, et il mérite qu'on en fasse une habitude : lisez le nom de l'image disque dans la barre latérale du Finder avant d'en faire glisser quoi que ce soit.

L'appât : une application qui s'appelle CrashReporter

Une fois installée, rapporte Jamf, l'application malveillante se présente sous le nom de CrashReporter.app, empruntant à la fois le nom et l'apparence générale d'un composant système macOS ordinaire. Elle affiche ensuite une demande de mot de passe stylisée pour ressembler à une véritable boîte de dialogue système macOS.

C'est un bon déguisement, pour une raison précise. Les rapports de plantage font partie des rares choses que macOS présente réellement sans qu'on lui demande. Les applications plantent, macOS propose bien d'envoyer un rapport, et la plupart des utilisateurs ont écarté cette boîte de dialogue des dizaines de fois sans la lire attentivement. Le malware emprunte cette familiarité. Il apparaît à un moment où une fenêtre système inattendue ne semblerait pas étrange, et il réclame la seule chose que la vraie boîte de dialogue ne demande jamais.

Ce qui se passe quand vous tapez

C'est ce point qui rend CrashStealer pire qu'une simple fenêtre de phishing. Jamf a rapporté que le malware vérifie localement le mot de passe saisi et que, si le mot de passe est correct, il peut s'en servir pour déverrouiller le login Keychain.

Songez à ce que cela signifie en pratique. Le mot de passe que vous avez tapé n'est pas le trophée en lui-même. C'est la clé du conteneur qui abrite tout le reste. Votre login Keychain est l'endroit où macOS stocke les mots de passe Wi-Fi, les identifiants d'applications, les certificats, les notes sécurisées et, pour beaucoup de gens, une longue traîne d'identifiants de sites web enregistrés. Le déverrouiller transforme une seule chaîne de caractères volée en un vidage complet d'identifiants.

Les cibles rapportées vont dans ce sens : identifiants stockés dans les navigateurs, données de gestionnaires de mots de passe, données de portefeuilles de cryptomonnaies y compris les extensions de portefeuille pour navigateur, et contenu du login Keychain. Si vous vous êtes déjà demandé pourquoi nous répétons que le mot de passe de votre Mac n'est pas un simple verrou d'écran, voilà pourquoi. Il se situe à la racine de l'arbre des identifiants. Notre guide sur pourquoi macOS réclame sans cesse votre mot de passe du login Keychain explique à quel point ce trousseau est étroitement lié à votre mot de passe de compte dans des circonstances normales et non malveillantes.

Deux points techniques à connaître

Jamf a mis en avant deux caractéristiques pertinentes pour les défenseurs, même si vous ne touchez jamais à un désassembleur.

Premièrement, CrashStealer est écrit en C++ natif. Beaucoup de stealers Mac de ces dernières années s'appuyaient largement sur AppleScript, qui est comparativement facile à inspecter, facile à reconnaître par motif pour les outils de sécurité, et facile à cloisonner pour macOS lui-même derrière des autorisations d'automatisation. Un binaire natif contourne une catégorie de détection sur laquelle l'écosystème avait pris l'habitude de compter. L'enseignement pratique pour un utilisateur ordinaire : des heuristiques du type « les applications malveillantes demandent des autorisations d'automatisation » ne sont pas une règle sur laquelle vous pouvez vous reposer.

Deuxièmement, et c'est plus lourd de conséquences, l'application de distribution était signée et notarisée avec un Apple Developer ID valide. C'est pour cela que Gatekeeper l'a laissée passer sans les frictions que la plupart des gens associent aux logiciels non fiables. Nous y reviendrons, car le « mais c'était notarisé » joue un rôle démesuré et non mérité dans les modèles de menace de beaucoup de monde.

La chronologie

Selon Jamf, des échantillons antérieurs, apparemment incomplets ou encore en développement, ont fait surface vers mai 2026. Des versions fonctionnelles, observées en conditions réelles, ont été détectées début juillet 2026, et l'analyse publique a suivi autour du 13 au 15 juillet.

Ces deux mois d'écart entre des échantillons à moitié construits et un déploiement opérationnel sont la norme, et c'est une raison de ne pas considérer une analyse publiée isolée comme le mot de la fin. Les stealers sont sans cesse remaniés. Le nom de l'image disque, le nom de l'application et la formulation exacte de la demande sont les éléments les plus jetables de cette opération. La technique, elle, est la partie durable, et c'est la technique qu'il vaut la peine d'apprendre.

L'idée centrale : une demande de mot de passe est une prétention, pas une preuve

Avant les listes de vérification, une idée qui rend toutes les suivantes plus faciles à retenir.

Quand une fenêtre apparaît à l'écran et réclame votre mot de passe, cette fenêtre formule une prétention sur son identité. Elle prétend être macOS. Rien dans l'apparence d'une fenêtre ne peut étayer cette prétention, car toute application autorisée à dessiner sur votre écran peut dessiner n'importe quoi, y compris une réplique parfaite d'une boîte de dialogue système. Les polices, les espacements, l'icône de cadenas, la nuance exacte du matériau d'arrière-plan, la position des boutons, la petite icône d'application dans le coin : tout cela n'est que des pixels, et tout cela est copiable.

La question n'est donc jamais « est-ce que cela a l'air authentique ? ». La question est « y a-t-il une raison pour qu'une vraie demande apparaisse ici ? ».

C'est ce recadrage qui sous-tend tout le reste de cet article. L'inspection visuelle conserve sa valeur, et vous trouverez ci-dessous des vérifications précises qui démasquent réellement les faux bâclés. Mais l'inspection visuelle est un filtre, pas un verdict. Le contexte, lui, est le verdict.

Analyse visuelle : vraie demande macOS contre faux dessiné par une application

Voici ce que vous pouvez réellement vérifier, à peu près par ordre du poids que mérite chaque contrôle.

1. Avez-vous fait quelque chose qui nécessiterait une autorisation ?

C'est de loin le contrôle le plus utile, et il ne coûte rien.

Les véritables demandes d'autorisation macOS sont des conséquences. Vous avez installé quelque chose. Vous avez modifié dans System Settings un réglage protégé par un cadenas. Vous avez approuvé une extension système. Vous avez lancé une commande nécessitant des privilèges élevés. Vous avez déverrouillé un élément du trousseau. Vous avez modifié une configuration réseau. Dans chacun de ces cas, vous avez effectué une action délibérée une seconde ou deux plus tôt, et la demande nomme cette action.

En fonctionnement normal, macOS ne décide pas tout seul de vous réclamer votre mot de passe de session pendant que vous lisez une page web ou regardez une vidéo. Si une demande de mot de passe apparaît et que vous ne pouvez pas désigner l'action que vous venez de faire et qui l'a provoquée, traitez-la comme hostile jusqu'à preuve du contraire. Pas « probablement sans danger ». Hostile.

Le corollaire est inconfortable mais vrai : un attaquant qui connaît cette règle essaiera de synchroniser la fausse demande avec quelque chose que vous avez fait, le plus souvent l'instant qui suit l'installation de son application. Une demande qui apparaît immédiatement après l'ouverture d'un logiciel fraîchement téléchargé n'est pas un contexte rassurant. C'est exactement le moment où apparaît la demande de CrashStealer.

2. Ce qui vous demande a-t-il la moindre légitimité à le faire ?

Certains composants système réclament votre mot de passe de façon routinière. D'autres ne le font jamais.

Le rapporteur de plantage de macOS appartient fermement à la catégorie « jamais ». Quand une application plante, la vraie boîte de dialogue vous indique que l'application a quitté de manière imprévue et vous propose de la rouvrir, d'ignorer, ou d'envoyer un rapport à Apple. Elle n'a pas besoin de votre mot de passe, car envoyer un journal de plantage à Apple ne requiert aucun droit d'administrateur. Il n'existe aucune configuration dans laquelle le véritable rapporteur de plantage vous demande de vous authentifier.

Il en va de même pour la plupart des éléments qui se contentent de vous afficher une information. Une fenêtre vous annonçant qu'une application a planté, une notification concernant une mise à jour disponible, une boîte de dialogue à propos d'un document qui n'a pas pu être enregistré, un message signalant un disque déconnecté : aucun de ces éléments n'a de raison légitime d'exiger votre mot de passe de session. Si un message d'information se transforme soudain en demande d'authentification, c'est cette fenêtre qui ne va pas, pas votre Mac.

Les catégories qui déclenchent véritablement une demande : l'installation de logiciels qui écrivent en dehors de votre dossier de départ, le déverrouillage des volets cadenassés dans System Settings, l'approbation d'extensions noyau ou système, la modification des réglages FileVault ou de sécurité au démarrage, et l'accès au trousseau pour des éléments stockés spécifiques. Si la fenêtre devant vous ne fait rien de tout cela, elle ne devrait rien demander.

3. Découvrez quelle application demande réellement

Une fausse demande appartient à un processus. Vous pouvez aller chercher ce processus pendant que la demande est encore à l'écran.

Regardez la barre des menus. Amenez votre pointeur en haut de l'écran. Le nom d'application affiché à côté du menu Pomme vous indique quelle application est actuellement au premier plan. Si une fenêtre prétendant être une boîte de dialogue système est affichée et que la barre des menus indique le nom d'une application que vous venez de télécharger, vous avez votre réponse.

Essayez Commande-Tab. Si vous pouvez passer à autre chose et que la demande se retrouve derrière une autre fenêtre comme n'importe quelle fenêtre d'application ordinaire, elle appartient à une application. Certaines vraies boîtes de dialogue système flottent au-dessus de tout ; un faux dessiné par une application souvent non, et celles qui flottent se trahissent autrement.

Ouvrez Force Quit. Appuyez sur Commande-Option-Échap. La fenêtre Force Quit liste vos applications en cours d'exécution par leur nom. Cherchez tout ce que vous ne reconnaissez pas, tout ce qui est apparu dans la liste au moment même où la demande s'est affichée, ou tout ce dont le nom est suspicieusement proche d'un composant système. Quitter l'application incriminée fait généralement disparaître la demande, ce qui constitue en soi la confirmation que vous cherchiez.

Ouvrez Activity Monitor. Applications > Utilitaires > Activity Monitor vous donne une liste plus longue, y compris les processus d'arrière-plan. Triez par CPU ou par nom de processus et cherchez les arrivées récentes. C'est plus de travail que Force Quit et plus sujet aux fausses alertes, puisque macOS exécute légitimement beaucoup de processus d'arrière-plan aux noms étranges, mais c'est là qu'il faut regarder quand Force Quit ne montre rien.

La limite, en toute honnêteté : un faux bien construit peut nommer son processus de façon anodine, et vous ne reconnaîtrez pas nécessairement un nom malveillant parmi la centaine de noms légitimes. Ce contrôle démasque les faux paresseux de manière fiable, et les faux sophistiqués parfois seulement.

4. Le test du glissement

Celui-ci est réellement utile, et il fonctionne dans un seul sens.

Essayez de faire glisser la fenêtre de demande à travers l'écran. Poussez-la vers le bord opposé, ou sur un second écran si vous en avez un. Une vraie boîte de dialogue système est une fenêtre à part entière et peut être déplacée n'importe où sur le bureau. Un faux dessiné à l'intérieur d'une autre fenêtre, ce qui est fréquent quand le faux réside dans une page web, une application Electron ou une vue plein écran, ne peut pas franchir les limites de sa fenêtre parente. Si la demande se coupe, revient brusquement en place, ou refuse de sortir d'un rectangle qui correspond à la fenêtre d'une autre application, c'est un faux. Point final.

L'aspect unidirectionnel : si la demande se déplace librement partout à l'écran, cela ne prouve rien. Une application native peut créer une fenêtre flottante sans bordure qui se déplace exactement comme une boîte de dialogue système. Réussir le test du glissement n'est pas un certificat de bonne santé. Y échouer est une condamnation.

Une variante voisine : essayez de redimensionner la fenêtre, ou repérez une fenêtre dont la taille est subtilement inadaptée à son contenu. Les faux construits à partir d'une vue web se redimensionnent parfois bizarrement quand vous changez la résolution d'affichage ou passez d'un écran à un autre avec une mise à l'échelle différente.

5. Utilisez Touch ID plutôt que le clavier

Si votre Mac dispose de Touch ID et qu'on vous demande de vous authentifier pour une action que vous avez réellement initiée, utilisez le capteur d'empreinte plutôt que le clavier.

Ce n'est pas parce que Touch ID serait impossible à imiter visuellement. Une application peut afficher une invite au style Touch ID. La raison pour laquelle cela aide est plus directe : une authentification par empreinte digitale ne remet pas votre mot de passe à l'application. La véritable authentification Touch ID passe par la Secure Enclave et renvoie une réponse par oui ou par non au processus demandeur. Rien ne saisit votre mot de passe, donc rien ne le capture. Si la fenêtre est fausse, vous lui avez donné un scan d'empreinte qu'elle ne peut pas convertir en identifiant.

Il y a un second signal là-dedans. Si vous effectuez une action qui vous propose normalement Touch ID sur votre Mac, et que cette demande précise insiste pour un mot de passe tapé sans aucune option Touch ID, demandez-vous pourquoi. Certaines demandes légitimes exigent bel et bien un mot de passe tapé, c'est donc un drapeau jaune plutôt que rouge, mais combiné aux autres contrôles il pèse dans la balance.

6. Échap, puis observez ce qui se passe

Appuyez sur Échap, ou cliquez sur Annuler. Puis observez.

Une véritable demande d'autorisation s'annule proprement et l'action que vous effectuiez échoue d'une manière cohérente. Vous avez tenté de déverrouiller un volet de réglages ; le volet reste verrouillé. Vous avez tenté d'installer quelque chose ; le programme d'installation signale qu'il n'a pas pu continuer.

Un faux, lui, insiste généralement. Il réapparaît au bout de quelques secondes, ou à chaque fois que vous cliquez sur le bureau, ou à la prochaine ouverture de session, ou bien il ne disparaît jamais tout à fait. La persistance face à une annulation est un indice fort, car toute la valeur du malware dépend de l'obtention finale de votre mot de passe. Il est conçu pour continuer à demander. Les vraies boîtes de dialogue système, non.

Ce contrôle a un coût : vous devez attendre pour voir si la demande revient, et pendant ce temps vous êtes assis devant un Mac qui exécute peut-être activement quelque chose dont vous ne voulez pas. Utilisez-le, mais ne l'utilisez pas à la place d'une déconnexion.

7. Lisez le texte, mais accordez-lui peu de poids

Les faux bâclés se trompent sur des détails. Une formulation générique là où macOS nommerait une application précise ou une action précise. Des majuscules légèrement à côté. Un numéro de version ou un nom de produit qui ne correspond pas à ce que vous utilisez. Une grammaire qui sent la traduction. Des libellés de boutons dans le mauvais ordre au regard des conventions macOS. Une icône qui est une version légèrement périmée de l'icône système actuelle.

Tout cela mérite d'être remarqué, et rien de tout cela ne mérite qu'on s'y fie. La typographie d'une boîte de dialogue système est un problème résolu pour un attaquant muni d'une capture d'écran et d'un après-midi. Traitez les bizarreries textuelles comme une raison d'enchaîner sur les autres contrôles, jamais comme la dernière ligne de défense.

Soyez lucide sur les limites de l'inspection visuelle

Chacun des contrôles ci-dessus peut être mis en échec par un attaquant suffisamment soigneux. Un faux natif, bien construit, apparaissant à un moment plausible, qui se déplace librement, emploie la bonne formulation et disparaît quand vous annulez, passerait tous les tests visuels de cet article.

Ce n'est pas une raison de sauter ces contrôles. C'est une raison de comprendre à quoi ils servent. Ils démasquent la majorité des faux rencontrés dans la réalité, qui ne sont pas construits avec un soin illimité. Mais la couche située en dessous, celle qui ne dépend pas du savoir-faire de l'attaquant, est comportementale.

Les règles de comportement qui ne dépendent pas du savoir-faire de l'attaquant

Voici les règles qui tiennent même quand le faux est parfait.

Règle 1 : ne saisissez jamais votre mot de passe dans une demande que vous n'avez pas provoquée. Si vous ne pouvez pas nommer l'action qui l'a déclenchée, la réponse est non. Pas « laissez-moi regarder de plus près ». Non.

Règle 2 : en cas de doute, annulez et relancez l'action délibérément. Si vous avez réellement besoin d'autoriser quelque chose, écartez la demande, quittez l'application, et initiez l'action vous-même depuis un endroit de confiance. Ouvrez System Settings vous-même et cliquez sur le cadenas. Lancez le programme d'installation vous-même depuis le Finder. Si une demande apparaît alors comme résultat direct de ce que vous venez de cliquer, elle a bien plus de chances d'être authentique, parce que vous avez créé le contexte au lieu d'accepter un contexte qu'on vous a servi.

Règle 3 : une demande qui apparaît immédiatement après une installation est la demande la plus risquée qui soit. C'est là que vit CrashStealer. Qu'un nouveau logiciel réclame votre mot de passe administrateur peut être légitime, mais c'est aussi exactement la forme que prend l'attaque. Si le logiciel vient d'être téléchargé depuis un site que vous n'aviez jamais utilisé, arrêtez-vous et reconsidérez ce que vous êtes en train d'installer avant de vous authentifier.

Règle 4 : privilégiez Touch ID chaque fois qu'il est proposé. Cela transforme « je leur ai donné mon mot de passe » en « je ne leur ai rien donné ».

Règle 5 : si quelque chose cloche, déconnectez d'abord et réfléchissez ensuite. Couper le Wi-Fi ne vous coûte rien et prend deux secondes. C'est l'action la moins chère possible, et c'est celle qui empêche les données de partir.

Si vous l'avez déjà saisi : la procédure à suivre après exposition

Cette section part du pire scénario : vous avez saisi votre mot de passe de session dans une demande que vous croyez désormais fausse. Vous êtes probablement quelque part entre l'agacement et la véritable inquiétude. Déroulez ceci dans l'ordre. La procédure est conçue pour que les gestes les plus décisifs viennent en premier, et pour que rien ici n'exige de vous un arbitrage difficile en situation de stress.

Deux remarques de cadrage avant les étapes.

Premièrement, partez du principe que l'exfiltration a déjà eu lieu. Les infostealers sont conçus pour la vitesse ; ils collectent et ils envoient. Ne passez pas vos dix premières minutes à essayer de déterminer si des données sont parties. Passez-les en supposant que oui.

Deuxièmement, partez du principe que le login Keychain est compromis. Jamf a rapporté qu'un mot de passe correct permet à CrashStealer de le déverrouiller. Cela signifie que la portée de cet incident n'est pas « un mot de passe ». C'est « tous les identifiants que ce mot de passe protégeait ».

Étape 1 : déconnectez le Mac du réseau. Tout de suite.

Coupez le Wi-Fi depuis la barre des menus. Si vous êtes en Ethernet, débranchez le câble. Si vous voulez être rigoureux, mettez la machine dans un isolement de type mode Avion en désactivant à la fois le Wi-Fi et le Bluetooth.

Cela produit deux effets : cela stoppe tout envoi ultérieur de données que le malware a collectées mais pas encore transmises, et cela coupe tout canal d'instructions à distance. Cela n'annule pas ce qui est déjà parti, et cela ne remplace pas la rotation d'identifiants décrite plus bas, mais c'est gratuit, instantané, et cela borne les dégâts.

N'éteignez pas encore le Mac. Vous voudrez l'inspecter sous peu, et un système en fonctionnement est plus facile à inspecter qu'un système qu'il faut redémarrer. Si vous n'avez aucune intention de l'inspecter et comptez passer directement à un effacement complet, l'éteindre ne pose pas de problème.

Étape 2 : cessez de saisir des identifiants sur cette machine

C'est une règle pour les prochaines heures, et c'est celle que les gens enfreignent sans s'en apercevoir.

Ne vous connectez pas à votre messagerie sur ce Mac pour vérifier s'il y a une activité suspecte. N'y ouvrez pas votre gestionnaire de mots de passe pour changer vos mots de passe. Ne vous connectez pas à votre banque dessus pour examiner vos transactions. Chaque identifiant que vous saisissez sur une machine que vous croyez compromise est un identifiant que vous livrez une seconde fois. Le réflexe d'aller immédiatement tout vérifier est puissant et il est exactement à l'opposé de ce qu'il faut faire.

Traitez ce Mac comme une scène de crime en lecture seule tant que vous n'avez pas décidé de son sort.

Étape 3 : passez sur un autre appareil, de confiance

Utilisez votre téléphone, une tablette, un autre ordinateur ou la machine d'un proche. Ce qu'il vous faut, c'est un appareil qui n'a pas été impliqué dans cet incident.

Une précaution : si votre téléphone est connecté aux mêmes comptes et que vous y conservez un gestionnaire de mots de passe synchronisé, il reste un appareil utilisable pour la récupération, car la compromission portait sur des identifiants et non sur le téléphone lui-même. Mais si vous avez la moindre raison de penser que le même programme d'installation malveillant a touché plus d'une machine, utilisez autre chose.

Étape 4 : changez d'abord le mot de passe de votre Apple Account

Faites-le avant tout le reste, depuis l'appareil de confiance.

Votre Apple Account est la racine de l'arbre. Il commande l'accès à iCloud Keychain, à Localiser, aux sauvegardes iCloud, à l'autorisation des appareils, aux achats, et dans bien des cas au chemin de récupération d'autres comptes. Si un attaquant l'obtient, il peut s'en servir pour atteindre des choses que vous n'aviez jamais stockées sur le Mac compromis.

Sur iPhone ou iPad : Réglages > votre nom > Connexion et sécurité > Changer le mot de passe. Sur le web : appleid.apple.com. Pendant que vous y êtes, passez en revue la liste des appareils de confiance et retirez tout ce que vous ne reconnaissez pas ou que vous n'utilisez plus.

Choisissez un mot de passe que vous n'avez jamais utilisé ailleurs, et ne reprenez pas le schéma d'un ancien.

Étape 5 : changez ensuite le mot de passe maître de votre gestionnaire de mots de passe

Si vous utilisez 1Password, Bitwarden, Dashlane, KeePass ou équivalent, son mot de passe maître est la seconde racine. Jamf a signalé les données de gestionnaires de mots de passe parmi les cibles de CrashStealer, considérez donc le coffre comme exposé.

Depuis l'appareil de confiance, changez le mot de passe maître, puis cherchez une commande de type « déconnecter tous les appareils » ou « révoquer toutes les sessions » et utilisez-la. De nombreux gestionnaires de mots de passe proposent aussi une notion de clé secrète ou de clé de compte ; si le vôtre permet de la faire tourner, faites-le également.

Si votre gestionnaire de mots de passe était déverrouillé sur ce Mac au moment des faits, ou si ses données étaient mises en cache localement, considérez que le contenu du coffre est connu de l'attaquant. C'est une sensation désagréable, et cela vous donne aussi une liste de tâches précise : tout ce qui se trouve dans le coffre doit être changé. Priorisez selon les étapes suivantes.

Étape 6 : faites tourner la messagerie, puis l'argent, puis tout le reste

L'ordre n'est pas arbitraire. Il suit le rayon d'impact.

La messagerie d'abord. Celui qui contrôle votre messagerie peut réinitialiser la plupart de vos autres comptes. Changez le mot de passe de chaque compte de messagerie que vous possédez, en commençant par celui qui reçoit les messages de réinitialisation de mot de passe. Puis, dans les réglages de sécurité de chaque compte, cherchez la liste des sessions actives ou des appareils autorisés et révoquez tout ce que vous ne reconnaissez pas. Vérifiez aussi les règles de transfert et les filtres que vous n'avez pas créés ; une manœuvre classique après compromission consiste à faire discrètement suivre ou archiver automatiquement les notifications de sécurité pour que vous ne voyiez jamais les alertes.

L'argent en second. Banques, courtiers, applications de paiement, tout ce qui conserve une carte enregistrée. Changez les mots de passe, puis vérifiez l'activité récente, puis appelez l'établissement si quelque chose vous semble anormal. Beaucoup de banques inscriront l'incident à votre dossier et renforceront leur vigilance pendant une période si vous les prévenez.

Puis tout le reste. Comptes professionnels, stockage cloud, réseaux sociaux, sites marchands, plateformes de développement, bureaux d'enregistrement de domaines, fournisseurs de VPS, tout ce qui possède une clé d'API. Les bureaux d'enregistrement de domaines et les consoles cloud méritent une place bien plus haute dans cette liste que celle que la plupart des gens leur accordent, car le contrôle d'un domaine ou d'un compte cloud constitue un levier durable sur tout ce qui en dépend.

N'essayez pas de tout faire d'une traite. Traitez la messagerie et l'argent maintenant, ce soir. Traitez la longue traîne sur les prochains jours, en vous appuyant sur la liste de votre gestionnaire de mots de passe.

Étape 7 : révoquez les sessions et les appareils partout

Changer un mot de passe ne met pas toujours fin à une session existante. Beaucoup de services maintiennent volontiers active une session déjà authentifiée après un changement de mot de passe, à moins que vous n'y mettiez explicitement fin.

Pour chaque compte important, trouvez la page de sécurité qui liste les sessions actives, les appareils connectés ou les applications liées, et faites le ménage. Google, Microsoft, Apple, GitHub, Slack, Discord et la plupart des grands services proposent tous cette fonction. Révoquez également les autorisations d'applications tierces que vous ne reconnaissez pas, car les jetons OAuth constituent un mécanisme de persistance qui survit aux changements de mot de passe.

Pendant que vous y êtes, vérifiez les sessions de synchronisation de votre navigateur. Si votre profil de navigateur était synchronisé avec une machine compromise, déconnecter toutes les sessions de synchronisation et rétablir la synchronisation depuis un appareil sain vaut bien le désagrément.

Étape 8 : considérez les phrases de récupération crypto comme compromises

Si vous déteniez des cryptomonnaies dans un portefeuille logiciel ou une extension de portefeuille pour navigateur sur ce Mac, c'est la partie dont l'échéance se compte en minutes, pas en jours.

Jamf a signalé les données de portefeuilles de cryptomonnaies parmi les cibles de CrashStealer, y compris les extensions de portefeuille pour navigateur. Considérez que toute phrase de récupération, clé privée ou fichier de portefeuille présent sur cette machine est désormais connu.

L'action à mener n'est pas « changer le mot de passe du portefeuille ». Les mots de passe de portefeuille protègent un fichier local ; la phrase de récupération, elle, est le compte. Si la seed est sortie, les fonds sont accessibles depuis n'importe où dans le monde, quoi que vous fassiez sur votre Mac.

Depuis un appareil sain, générez un nouveau portefeuille avec une nouvelle phrase de récupération, et transférez-y les fonds. Un portefeuille matériel dont la seed est générée sur l'appareil lui-même est la bonne destination si vous en avez un ou pouvez vous en procurer un. Ne ressaisissez pas l'ancienne phrase de récupération sur un quelconque appareil pour la « sécuriser » ; il n'y a plus rien à sécuriser. Ne la saisissez dans aucun outil ni site web proposant de vérifier si elle a été compromise, ce qui est en soi une arnaque répandue.

Si vous avez un jour stocké une phrase de récupération dans une note, une capture d'écran, un fichier texte ou votre gestionnaire de mots de passe sur ce Mac, la même règle s'applique. C'est un bon moment pour reconsidérer ce choix de stockage à l'avenir.

Étape 9 : activez l'authentification à deux facteurs partout où elle est disponible

Si vous utilisiez déjà la 2FA sur votre messagerie et vos comptes financiers, cet incident est nettement moins grave qu'il aurait pu l'être, car un mot de passe volé seul n'ouvre pas ces portes.

Si ce n'était pas le cas, activez-la maintenant, au fur et à mesure que vous changez chaque mot de passe. Privilégiez une application d'authentification ou une clé de sécurité matérielle plutôt que le SMS. La 2FA par SMS vaut sensiblement mieux que rien et vaut sensiblement moins que les alternatives, car les attaques par SIM swap sont devenues une industrie mature.

Une réserve propre à ce scénario : si la sauvegarde de votre application d'authentification était stockée dans un compte cloud dont le mot de passe se trouvait dans le trousseau compromis, réenrôlez votre 2FA plutôt que de supposer que la configuration existante est sûre.

Étape 10 : inspectez maintenant le Mac lui-même

Une fois la rotation des identifiants lancée depuis un appareil sain, revenez à la machine. Gardez-la hors réseau pendant que vous l'examinez.

Éléments d'ouverture de session et éléments d'arrière-plan. Ouvrez System Settings > Général > Éléments d'ouverture de session et extensions. Deux listes méritent d'être lues : les applications qui s'ouvrent à l'ouverture de session, et les éléments d'arrière-plan autorisés à s'exécuter. La seconde est la plus intéressante, car elle nomme le développeur responsable de chaque agent d'arrière-plan. Tout ce dont vous ne pouvez pas rendre compte mérite investigation. Sachez que des logiciels légitimes inscrivent aussi des entrées ici, ne supprimez donc pas tout par réflexe ; cherchez le nom du développeur avant d'agir.

Profils de configuration. Ouvrez System Settings > Général > Gestion des appareils. Sur un Mac personnel non inscrit auprès d'un employeur ou d'un établissement scolaire, ce volet n'apparaît généralement pas du tout. S'il apparaît et liste un profil que vous n'avez pas installé, c'est une découverte sérieuse. Les profils de configuration peuvent modifier les réglages DNS, installer des certificats et imposer des règles, et ils sont un mécanisme de persistance de prédilection précisément parce que la plupart des utilisateurs ne regardent jamais ici.

Le dossier Applications, trié par date. Dans le Finder, ouvrez Applications et passez en vue liste triée par date d'ajout ou date de modification. Tout ce qui est arrivé aux alentours de l'incident mérite examen. Faites de même pour votre dossier Applications au niveau utilisateur si vous en avez un.

Extensions de navigateur. Ouvrez la page des extensions de chaque navigateur et supprimez tout ce que vous n'avez pas installé délibérément. Portez une attention particulière aux extensions de portefeuille, directement concernées ici, et à tout ce qui dispose de larges autorisations de lecture des données sur tous les sites.

Téléchargements récents. Parcourez votre dossier Téléchargements à la recherche de l'image disque ou du programme d'installation à l'origine de tout ceci. Ne l'ouvrez pas de nouveau. Connaître le nom du fichier vous aidera à reconnaître le même appât s'il se représente.

Si vous trouvez quelque chose et le supprimez, n'en concluez pas que vous êtes tiré d'affaire. Supprimer l'élément que vous avez trouvé ne vous apprend rien sur ceux que vous n'avez pas trouvés.

Étape 11 : décidez s'il faut effacer et réinstaller

Voici la réponse honnête, sans détour : si vous avez saisi votre mot de passe de session dans une fausse demande système, effacer et réinstaller est la bonne décision.

Le raisonnement n'est pas que la suppression est impossible. C'est que la vérification est impossible. Vous ne pouvez pas prouver une négation sur une machine qui a exécuté un binaire natif inconnu ayant votre mot de passe administrateur en main. Un nettoyage manuel vous amène à « je n'ai rien trouvé d'autre », ce qui n'est pas la même chose que « il n'y a rien d'autre ». Pour une machine qui abrite votre travail, votre messagerie et votre argent, cet écart compte.

Les cas où vous pouvez raisonnablement faire l'impasse sur l'effacement : vous avez vu la demande, vous n'avez rien saisi, vous avez quitté l'application et l'avez supprimée, et rien depuis ne s'est comporté bizarrement. Les cas où vous devez absolument effacer : vous avez saisi le mot de passe ; ou vous ne parvenez pas à reconstituer ce que vous avez installé ; ou vous avez trouvé des éléments de persistance que vous ne comprenez pas ; ou la machine a accès à des choses dont vous êtes responsable pour le compte d'autres personnes.

Comment procéder correctement sur un Mac moderne :

1. Terminez d'abord la rotation des identifiants, depuis l'appareil sain. N'effacez pas avant d'avoir repris le contrôle de vos comptes, car l'effacement ne répare pas vos comptes.
2. Sauvegardez vos documents, pas vos applications ni une image système complète. Copiez les fichiers dont vous avez besoin sur un disque externe. Photos, documents, projets, code source, tout ce que vous avez produit.
3. Utilisez Effacer contenu et réglages (System Settings > Général > Transférer ou réinitialiser) sur les Mac Apple silicon et T2, ou réinstallez depuis macOS Recovery.
4. Configurez le Mac comme neuf. Ne restaurez pas depuis une sauvegarde Time Machine réalisée après l'infection, et n'utilisez pas l'Assistant de migration pour rapatrier applications et réglages système depuis l'état compromis. C'est ainsi que les gens se réinfectent et en concluent que le malware était indétectable.
5. Réinstallez les applications depuis le Mac App Store ou depuis le site officiel de chaque développeur, à neuf.
6. Recopiez vos documents depuis le disque externe.
7. Reconnectez-vous et réenrôlez l'authentification à deux facteurs.

Oui, c'est une soirée perdue. C'est une soirée perdue qui se termine par une machine à laquelle vous pouvez réellement faire confiance, ce qui vaut plus que la soirée.

Pourquoi la notarisation n'a sauvé personne ici

L'aspect le plus instructif de cette affaire, c'est que tout a fonctionné comme prévu, et que l'utilisateur s'est quand même fait avoir.

Ce qu'est réellement la notarisation

Quand un développeur distribue une application Mac en dehors de l'App Store, il la soumet au service de notarisation d'Apple. Apple effectue une vérification automatisée : elle recherche des contenus malveillants connus, vérifie la signature de code, contrôle que l'application est signée avec un Developer ID valide, et confirme un ensemble d'exigences de durcissement. Si l'application passe, Apple émet un ticket qui lui est agrafé.

Relisez cette liste et notez ce qui n'y figure pas. Il n'y a pas de relecteur humain. Il n'y a pas d'analyse comportementale de ce que fait l'application quand un utilisateur l'exécute. Il n'y a aucun jugement sur l'honnêteté de sa finalité. La notarisation répond à une question étroite : ce binaire contient-il quelque chose que nous reconnaissons déjà comme malveillant, et est-il correctement signé par un développeur identifiable ?

Une application qui dessine une boîte de mot de passe convaincante et transmet ce qu'elle capture ne contient pas de « contenu malveillant connu » au sens où l'entend l'analyseur, en particulier s'il s'agit d'un binaire natif inédit. Elle passe sans encombre.

Ce que Gatekeeper promet et ne promet pas

Gatekeeper est la couche d'application des règles sur votre Mac. Quand vous ouvrez une application téléchargée, Gatekeeper vérifie qu'elle est signée et notarisée, et que le ticket de notarisation est valide. Si c'est le cas, l'application s'ouvre avec un minimum de friction. Sinon, vous obtenez les avertissements et blocages que les utilisateurs de Mac connaissent bien, dont le message indiquant que l'application est endommagée et ne peut pas être ouverte, que nous traitons dans notre guide de dépannage Gatekeeper et quarantaine.

Ce que Gatekeeper promet, c'est la traçabilité, pas la sécurité. Il vous dit ceci : ce logiciel provient d'un développeur enregistré auprès d'Apple, qui a payé un Developer ID et dont le binaire a été analysé. Cela signifie que s'il s'avère malveillant, Apple sait quel certificat révoquer. Cela ne signifie pas qu'Apple a évalué si l'application mérite votre confiance.

L'écart entre ces deux choses est précisément l'espace où vit toute cette catégorie d'attaques. Et ce n'est pas nouveau : nous avons décrit le même schéma en décembre 2025 lorsque MacSync Stealer s'est servi d'une notarisation Apple valide pour contourner Gatekeeper. La leçon n'a pas porté, parce que « notarisé » se lit encore, pour la plupart des gens, comme « approuvé ».

La révocation est un nettoyage, pas une protection

Apple a révoqué le certificat impliqué dans CrashStealer. C'est la bonne réponse et elle produit un effet réel : sur les Mac qui vérifient la révocation, l'application ne se lancera plus, et le même certificat ne pourra pas servir à signer la version suivante.

Mais la révocation intervient après l'analyse, qui intervient après les infections. Tous ceux qui ont été touchés pendant la fenêtre entre le déploiement de début juillet et la révocation n'en ont tiré aucun bénéfice. La révocation de certificat est la mémoire du système immunitaire, pas sa barrière. Par ailleurs, obtenir un nouveau Developer ID reste un problème soluble pour un opérateur motivé, ce qui explique que le même schéma se reproduise sans cesse avec d'autres certificats.

La conclusion pratique pour vous : utilisez Gatekeeper, gardez-le activé, ne le désactivez jamais pour exécuter un logiciel dont on vous a dit de le désactiver. Et ne faites pas de lui la raison pour laquelle vous faites confiance à une application. La question « est-ce signé ? » est bien moins importante que « ai-je obtenu ceci auprès du développeur, ou depuis un résultat de recherche ? ».

D'où viennent les programmes d'installation de ce genre

Dans la pratique, les images disque malveillantes parviennent aux utilisateurs par un petit nombre de canaux, et tous exploitent le même instant : vous avez décidé que vous vouliez un logiciel et vous cherchez où le télécharger.

La publicité dans les moteurs de recherche. Quelqu'un cherche une application connue et clique sur le premier résultat, qui est une annonce payante pointant vers un site sosie. Le texte de l'annonce est juste, la page d'atterrissage est un bon clone, et le bouton de téléchargement fonctionne. C'est de loin le canal au plus fort volume, et il fonctionne parce que le haut d'une page de résultats de recherche inspire l'autorité.

Les sites de téléchargement sosies. Des domaines à un caractère près, ou qui ajoutent un mot plausible, ou qui utilisent une autre extension. Et aussi tout l'écosystème des « portails de téléchargement » qui enveloppent de vrais logiciels dans leurs propres programmes d'installation. Même quand ces sites ne distribuent pas de malware, ils distribuent des programmes d'installation modifiés, ce qui est une habitude dont vous ne voulez pas.

Les liens diffusés dans les messageries et les forums. Un serveur Discord, un groupe Telegram, un fil Reddit, un commentaire sur un forum d'assistance. Quelqu'un publie obligeamment un miroir. Parfois c'est une vraie personne serviable et parfois non, et vous ne pouvez pas le déterminer à partir du message.

Les versions crackées et « gratuites » de logiciels payants. Celui-ci se passe d'explication et reste l'un des moyens les plus fiables de se retrouver avec un stealer.

La défense est la même dans les quatre cas : décidez d'où vous allez télécharger avant de lancer votre recherche. Rendez-vous sur le vrai domaine du développeur, que vous pouvez généralement vérifier via l'application elle-même, une installation existante, un signet, la fiche App Store du développeur ou son compte social vérifié. Puis téléchargez depuis là. Ne laissez jamais la page de résultats de recherche choisir la source à votre place.

Une prévention concrète qui change vraiment les choses

Une liste courte, à peu près par ordre d'impact.

Installez depuis le Mac App Store quand l'application y est disponible. Les applications de l'App Store sont exécutées en bac à sable et passent en revue, ce qui constitue un niveau d'exigence réellement différent de la notarisation. Ce n'est pas parfait, mais la surface d'attaque est bien plus étroite.

Quand l'application n'est pas sur l'App Store, allez sur le site vérifié du développeur. Tapez le domaine, utilisez un signet, ou naviguez depuis la fiche App Store du développeur. Ne cliquez pas sur une annonce.

Lisez le nom de l'image disque avant d'installer. Si vous avez cherché un produit et monté un DMG portant un nom sans rapport, arrêtez-vous. Cette seule habitude aurait arrêté CrashStealer dès la porte d'entrée.

Maintenez macOS à jour. Les signatures XProtect et les données de révocation sont diffusées par le mécanisme de mise à jour, et elles arrivent que vous installiez ou non la mise à jour complète du système, mais rester à jour maintient chaque couche dans un état pris en charge. Notre guide de mise à jour macOS Tahoe 26.6 détaille ce que contient la version actuelle et comment l'installer proprement.

Utilisez un gestionnaire de mots de passe avec un mot de passe maître qui n'existe nulle part ailleurs. Distinct du mot de passe de session de votre Mac, distinct du mot de passe de votre Apple Account, et pas une variante de l'un ou l'autre. C'est ce qui limite le rayon d'impact quand un identifiant tombe.

Gardez le login Keychain protégé par un vrai mot de passe. N'affaiblissez pas votre mot de passe de compte parce que le taper vous agace, et ne désactivez pas les protections du trousseau. Touch ID existe précisément pour qu'un mot de passe robuste ne soit pas un impôt quotidien.

Activez FileVault, et faites des sauvegardes. FileVault protège les données au repos si la machine est perdue. Les sauvegardes sont ce qui transforme « effacer et réinstaller » en un désagrément de deux heures plutôt qu'en catastrophe. Les deux sont traités plus en détail dans notre guide de sécurité et de confidentialité pour Mac.

Activez l'authentification à deux facteurs avant d'en avoir besoin. C'est le contrôle qui rend un mot de passe volé survivable.

Un antivirus sert-il vraiment à quelque chose sur un Mac ?

Une réponse honnête, sans vous orienter vers un produit.

Les analyseurs de malwares sur macOS sont utiles pour une tâche précise : reconnaître ce qui a déjà été analysé et catalogué. Si une famille de stealers connue atterrit sur votre machine, un analyseur maintenu à jour la détectera très probablement, et ce n'est pas rien, car la plupart des infections ne sont pas inédites. Les analyseurs sont aussi réellement utiles après un incident, comme second avis quand vous essayez de déterminer ce qui se trouve sur une machine.

Ce qu'ils réussissent moins bien, c'est précisément le cas décrit dans cet article. CrashStealer était un binaire natif issu d'un compte développeur avec un certificat valide, et son acte malveillant central consistait à afficher une fenêtre et à lire ce que l'utilisateur tapait. Il existe un intervalle entre l'apparition d'une nouvelle famille et le rattrapage de la détection, et pendant cet intervalle les outils fondés sur les signatures n'ont rien sur quoi s'appuyer. La détection comportementale aide, et elle n'est pas magique.

Il y a aussi le contre-argument honnête que macOS embarque déjà des protections en couches : Gatekeeper, XProtect, XProtect Remediator, les vérifications de notarisation, System Integrity Protection, et le bac à sable applicatif pour les logiciels de l'App Store. Pour un utilisateur prudent ayant de bonnes habitudes de téléchargement, un antivirus tiers apporte moins que sur d'autres plateformes.

Là où cela a clairement du sens : si vous partagez le Mac avec des personnes moins prudentes, si vous manipulez les données d'autrui, si vous travaillez dans un environnement soumis à des exigences de conformité, ou si vous avez déjà subi un incident et souhaitez un deuxième regard. Là où cela en a moins : en remplacement des habitudes décrites dans la section précédente. Aucun analyseur ne vous protège de la décision de saisir votre mot de passe dans une fenêtre.

Si vous voulez la comparaison détaillée, notre guide des antivirus pour Mac en 2026 passe les compromis en revue en profondeur.

Résolution des problèmes courants

Problème : une demande de mot de passe est apparue, j'ai cliqué sur Annuler et je n'ai rien saisi. Est-ce que tout va bien ? Solution : presque certainement oui, en ce qui concerne le mot de passe lui-même. Cliquer sur Annuler ne divulgue rien. Mais l'application qui a dessiné la demande est toujours sur votre Mac, et elle tourne toujours. Quittez-la depuis Force Quit, puis retrouvez-la et supprimez-la, puis vérifiez les Éléments d'ouverture de session et extensions ainsi que la Gestion des appareils pour tout ce qu'elle aurait laissé derrière elle. Surveillez le retour de la demande, qui signifierait que quelque chose persiste encore. Si vous ne trouvez pas la source, ou si la demande réapparaît après un redémarrage, traitez cela comme une infection active et déroulez la procédure à partir de l'étape 10.

Problème : je n'arrive vraiment pas à déterminer si une demande est authentique, et je dois autoriser une action légitime. Solution : écartez complètement la demande, puis créez le contexte vous-même. Quittez l'application. Ouvrez directement System Settings ou le Finder et initiez de là l'action que vous vouliez faire. Si une demande apparaît comme résultat immédiat d'un clic effectué dans un endroit de confiance, elle a bien plus de chances d'être authentique. Au moment de vous authentifier, utilisez Touch ID s'il est proposé, ainsi aucun mot de passe n'est tapé quoi qu'il arrive. Si la demande continue d'apparaître sans que vous n'initiiez quoi que ce soit, cette ambiguïté est elle-même la réponse : c'est un faux.

Problème : j'ai déjà saisi mon mot de passe. Que faire dans les soixante premières secondes ? Solution : coupez le Wi-Fi ou débranchez l'Ethernet. Cessez d'utiliser ce Mac pour tout ce qui touche à des identifiants. Prenez votre téléphone ou un autre ordinateur et changez le mot de passe de votre Apple Account, puis le mot de passe maître de votre gestionnaire de mots de passe. Puis la messagerie, puis les comptes financiers. Si vous déteniez des cryptomonnaies sur ce Mac, déplacez les fonds depuis un appareil sain avant toute autre chose, car l'exposition d'une phrase de récupération est irréversible. La séquence ordonnée complète figure dans la section procédure ci-dessus ; déroulez-la plutôt que d'improviser.

Problème : j'ai trouvé dans Force Quit ou dans mon dossier Applications une application que je ne reconnais pas. Solution : ne l'ouvrez pas. Cherchez son nom exact depuis un autre appareil avant d'agir, car quantité d'utilitaires légitimes portent des noms bizarres. Si elle vous est inconnue et est apparue aux alentours de l'incident, quittez-la, placez-la dans la corbeille, videz la corbeille, puis vérifiez les Éléments d'ouverture de session et extensions pour un élément d'arrière-plan correspondant et supprimez-le également. Trouver un composant ne signifie pas les avoir tous trouvés, poursuivez donc les étapes d'inspection et envisagez la décision d'effacement.

Problème : System Settings affiche un profil de configuration que je n'ai jamais installé. Solution : sur un Mac personnel non géré par un employeur ou un établissement scolaire, le volet Gestion des appareils n'existe généralement pas du tout. S'il existe et liste un profil inconnu, c'est un indicateur fort de compromission, et les profils peuvent rediriger le DNS ou installer des certificats permettant d'intercepter le trafic. Supprimez-le depuis System Settings > Général > Gestion des appareils, puis vérifiez vos réglages réseau à la recherche de serveurs DNS modifiés. Compte tenu de ce qu'un profil peut faire, cette découverte plaide fortement pour un effacement complet suivi d'une réinstallation.

Problème : mon Mac réclame maintenant en permanence le mot de passe du login Keychain et rien de ce que je tape ne fonctionne. Solution : cela peut arriver pour des raisons totalement anodines, généralement quand votre mot de passe de compte et votre mot de passe de trousseau se sont désynchronisés après une réinitialisation. Cela peut aussi faire suite à un incident de sécurité. Si vous avez la moindre raison de soupçonner un malware, faites d'abord tourner vos identifiants depuis un appareil sain, puis dépannez. Si vous êtes certain que c'est sans rapport avec un incident, notre guide sur un Mac qui réclame en boucle le mot de passe du login Keychain explique comment resynchroniser ou réinitialiser le trousseau en toute sécurité.

FAQ

Le véritable rapporteur de plantage de macOS demande-t-il parfois mon mot de passe ?

Non. Quand une application plante, macOS propose de la rouvrir, d'ignorer, ou d'envoyer un rapport à Apple. Envoyer un journal de plantage ne requiert aucun privilège administrateur, il n'existe donc aucune configuration dans laquelle le véritable rapporteur de plantage vous demande de vous authentifier. Une fenêtre de rapport de plantage réclamant votre mot de passe de session est fausse, sans exception.

Comment un malware a-t-il pu passer Gatekeeper si mon Mac est à jour ?

Jamf Threat Labs a rapporté que l'application de distribution était signée et notarisée avec un Apple Developer ID valide. La notarisation est une analyse automatisée à la recherche de contenus malveillants connus et de problèmes de signature, pas une revue de sécurité humaine, un binaire natif inédit peut donc passer. Gatekeeper a honoré un ticket valide. Apple a depuis révoqué le certificat.

Si j'ai saisi mon mot de passe, seul ce mot de passe est-il compromis ?

Non, et c'est le point essentiel. Jamf a rapporté que CrashStealer vérifie le mot de passe localement et, s'il est correct, peut déverrouiller le login Keychain. Votre trousseau contient des mots de passe Wi-Fi, des identifiants d'applications, des certificats et des connexions enregistrées. Considérez comme exposé chaque identifiant stocké sur ce Mac, pas seulement celui que vous avez tapé.

Effacer mon Mac résoudra-t-il le problème à lui seul ?

Non. L'effacement retire le malware de la machine mais ne change rien aux identifiants qui en sont déjà partis. Faites d'abord tourner vos mots de passe depuis un appareil sain, en commençant par votre Apple Account et votre gestionnaire de mots de passe, puis effacez. Évitez également de restaurer depuis une sauvegarde postérieure à l'infection ou de migrer les applications, car cela peut réintroduire le problème.

Puis-je reconnaître une fausse demande à son apparence ?

Parfois, pas toujours. Essayez de la faire glisser : une demande qui ne peut pas sortir de la fenêtre d'une autre application est assurément fausse. Vérifiez la barre des menus et Force Quit pour voir quelle application demande. Mais un faux natif bien construit peut passer tous les tests visuels, et c'est pourquoi la règle fiable est le contexte, pas l'apparence. Les demandes non sollicitées sont hostiles.

Dois-je installer un antivirus sur mon Mac après cela ?

Cela peut aider, surtout pour détecter les familles de malwares connues et comme second avis après un incident. C'est le plus faible face exactement à ce scénario : un binaire signé inédit dont l'attaque est une fenêtre convaincante. De bonnes habitudes de téléchargement, un mot de passe maître de gestionnaire de mots de passe distinct et l'authentification à deux facteurs vous protègent davantage que n'importe quel analyseur.

Conclusion

CrashStealer est une version bien exécutée d'une vieille idée. Jamf Threat Labs a rapporté un infostealer natif en C++, livré dans une image disque nommée Werkbit Setup, qui installe une application se faisant appeler CrashReporter.app, affiche une demande de mot de passe déguisée en boîte de dialogue système, vérifie ce que vous tapez, et utilise un mot de passe correct pour déverrouiller votre login Keychain et atteindre les identifiants de navigateur, les données de gestionnaires de mots de passe et les portefeuilles de cryptomonnaies. L'application était signée et notarisée avec un Apple Developer ID valide, Gatekeeper l'a donc laissée passer, et Apple a révoqué le certificat après coup.

Retirez les détails et il reste un unique point de décision : une fenêtre a demandé votre mot de passe, et vous avez décidé de le donner ou non. Cette décision n'est pas technique. C'est une habitude, et les habitudes se construisent. Celle qui vaut la peine d'être construite est assez courte pour qu'on s'en souvienne à 1 h du matin : si vous n'avez rien fait qui exigerait un mot de passe, n'en saisissez aucun. Annulez, découvrez quelle application demande, et relancez l'action vous-même depuis un endroit de confiance. Utilisez Touch ID quand il est proposé, car une empreinte digitale ne peut pas être volée comme une chaîne de caractères tapée au clavier.

Si vous lisez ceci après avoir déjà saisi votre mot de passe, la situation est récupérable et c'est l'ordre qui compte. Déconnectez le Mac. Passez sur un autre appareil. L'Apple Account d'abord, le gestionnaire de mots de passe ensuite, la messagerie en troisième, l'argent en quatrième. Déplacez immédiatement vos cryptomonnaies depuis un appareil sain et considérez la phrase de récupération comme grillée. Révoquez les sessions, vérifiez les éléments d'ouverture de session et les profils de configuration, puis effacez et configurez comme neuf plutôt que de restaurer l'état compromis. Descendez la liste plutôt que d'essayer de tout résoudre d'un coup.

Prenez quinze minutes cette semaine pour faire la partie préventive pendant que rien ne brûle : vérifiez que l'authentification à deux facteurs est activée sur votre messagerie et vos comptes financiers, assurez-vous que le mot de passe maître de votre gestionnaire de mots de passe n'existe nulle part ailleurs, vérifiez que vous disposez d'une sauvegarde fonctionnelle, et contrôlez que macOS est à jour. Puis mettez cette page en signet. La prochaine fausse demande aura une autre allure, et les règles seront les mêmes.