Votre Mac a bloqué un collage dans Terminal : que signifie l'alerte

On vous a demandé de coller une commande dans Terminal. Peut-être qu'une page d'assistance affirmait qu'elle réglerait votre problème. Peut-être qu'un écran de vérification prétendait qu'elle prouverait que vous êtes bien humain. Peut-être qu'une page de téléchargement la présentait comme le moyen le plus rapide d'installer quelque chose. Vous l'avez copiée, vous avez ouvert Terminal, vous avez appuyé sur Commande-V, et votre Mac vous a arrêté avec une alerte de sécurité.

La première réaction, chez presque tout le monde, consiste à penser que macOS fait de la paranoïa. Parfois, cette réaction est juste. Certains logiciels légitimes fournissent réellement des instructions d'installation qui vous demandent de coller une commande, et une protection conçue pour attraper des attaquants va forcément en attraper quelques-unes au passage. Mais parfois, l'alerte est la dernière chose qui sépare un inconnu de votre trousseau Apple, des mots de passe de votre navigateur et de toutes les cryptomonnaies que vous conservez sur cette machine.

Cet article vous dit dans quelle situation vous vous trouvez. Il couvre les trois protections ajoutées par Apple, ce que signifie réellement chaque alerte, si vous pouvez passer outre et ce que cela coûte vraiment, pourquoi vous avez eu cette invite alors que votre ami développeur ne l'a jamais vue, ce qui se passe sur des terminaux tiers comme iTerm2 et Ghostty, ainsi qu'une règle de décision applicable en une trentaine de secondes sans avoir besoin de comprendre la syntaxe du shell. Si vous avez déjà collé et exécuté quelque chose, un plan d'action calme et ordonné se trouve plus bas. Commencez par là et revenez ensuite pour les explications.

Points clés à retenir

• Il y a trois protections distinctes, pas une seule. La documentation Platform Security d'Apple décrit Terminal Paste Protection, le blocage des commandes issues du presse-papiers et l'analyse AppleScript comme des mécanismes distincts introduits dans macOS 26.4 ou version ultérieure. Savoir lequel s'est déclenché vous indique le degré de sérieux à accorder à l'alerte.
• Une alerte que l'on peut contourner et une alerte que l'on ne peut pas contourner ne veulent pas du tout dire la même chose. Une correspondance heuristique vous laisse un passage. Une correspondance avec une signature de logiciel malveillant connu, non — pas plus que les scripts exécutés depuis la mémoire. Si votre Mac ne vous propose aucun bouton pour continuer, ce n'est pas un bug à contourner.
• Les terminaux tiers perdent l'invite mais conservent le filet de sécurité. Apple documente l'avertissement de collage comme une fonctionnalité de l'app Terminal, tandis que le blocage des commandes issues du presse-papiers couvre explicitement n'importe quel émulateur de terminal, y compris les applications tierces, car il opère au niveau de XProtect sur l'arborescence de processus résultante.
• L'attaque que ces protections existent pour stopper montre des pages différentes selon les visiteurs. Des recherches de Microsoft Threat Intelligence publiées le 2026-08-05 décrivent une opération ClickFix visant macOS dont les pages prennent l'empreinte de chaque visiteur et traquent les chercheurs en sécurité, ce qui signifie que vérifier un lien vous-même ne prouve rien sur ce qui a été montré à quelqu'un d'autre.
• L'enjeu, c'est l'intégralité de vos identifiants, pas un seul mot de passe. Les chercheurs de Huntress ont décrit un stealer macOS écrit en Go qui vise les bases de données de mots de passe des navigateurs, les cookies et le trousseau Apple, avec une fonction de siphonnage de cryptomonnaies réglable jusqu'à 1 % d'un solde afin que le vol reste discret. Un Mac sous surveillance avait été compromis environ trois mois avant que quiconque ne s'en aperçoive.

Les trois protections, et celle que vous venez de déclencher

La page de documentation Platform Security d'Apple consacrée aux protections de Terminal et des scripts décrit trois mécanismes introduits dans macOS 26.4 ou version ultérieure. On en parle souvent comme s'il s'agissait d'une seule fonctionnalité, ce qui entretient beaucoup de confusion, car ces mécanismes se comportent différemment, couvrent des logiciels différents, et seuls certains d'entre eux peuvent être contournés.

Lisez cette section en premier. Une fois que vous savez laquelle des trois vous avez déclenchée, tout le reste de cet article devient plus facile à appliquer.

Protection 1 : Terminal Paste Protection

C'est celle à laquelle pensent la plupart des gens quand ils disent que leur Mac a bloqué un collage. Il s'agit d'une boîte de dialogue d'avertissement affichée par l'app Terminal d'Apple lorsque vous y collez du texte provenant d'une catégorie d'applications sources que les attaquants utilisent couramment pour transmettre une commande : navigateurs web, Messages, Mail, Aperçu et applications de messagerie.

Le mot clé ici est avertissement. Cette protection vise à interrompre un moment d'ingénierie sociale. Elle place un ralentisseur entre l'instruction qu'on vous a donnée et l'action que vous vous apprêtiez à accomplir, exactement au point où l'attaque repose sur le fait que vous ne vous arrêtiez pas pour réfléchir.

Apple documente des conditions précises qui doivent toutes être réunies avant que cette protection ne se déclenche. Elle est délibérément étroite, ce qui explique pourquoi la plupart des gens ne l'ont jamais vue. Nous passerons ces conditions en revue en détail dans un instant, car les comprendre répond à la question la plus fréquente sur cette fonctionnalité : pourquoi apparaît-elle chez certains et jamais chez d'autres.

Protection 2 : blocage des commandes issues du presse-papiers

Celle-ci opère à une couche complètement différente, et c'est la protection que la plupart des articles sous-estiment.

La documentation d'Apple indique que lorsqu'un utilisateur colle du texte dans n'importe quel émulateur de terminal, y compris des applications de terminal tierces, XProtect suit l'arborescence de processus résultante et inspecte son comportement. Deux choses se produisent alors. Les artefacts réseau sont comparés au service Safe Browsing d'Apple, et les processus qui correspondent à des sources malveillantes connues sont bloqués. Par ailleurs, les schémas comportementaux sont évalués au regard de techniques de logiciels malveillants connues.

Remarquez ce dont cette description ne dépend pas. Elle ne dépend pas de l'affichage d'une boîte de dialogue par le terminal. Elle ne dépend pas du fait que le terminal soit celui d'Apple. Elle ne dépend pas du fait que vous ayez été averti. La vérification se produit après le démarrage de la commande, en observant ce que font les processus résultants et vers où ils se connectent. C'est pourquoi cette protection peut couvrir des logiciels qu'Apple n'a pas écrits.

Protection 3 : analyse d'AppleScript et de JXA

La troisième protection intègre XProtect au framework OpenScripting, c'est-à-dire la partie de macOS qui exécute AppleScript et JavaScript for Automation, généralement abrégé en JXA. Les scripts dans les deux langages sont analysés, et une correspondance avec une signature malveillante connue bloque l'exécution et en avertit l'utilisateur.

Il existe ici une asymétrie importante, et Apple l'énonce clairement : les utilisateurs peuvent passer outre les blocages pour les scripts sous forme de fichier, mais ne peuvent pas le faire pour les scripts exécutés depuis la mémoire. Cette distinction n'a rien d'arbitraire. Un script rangé dans un fichier est quelque chose que vous pouvez aller lire avant de décider. Un script exécuté directement depuis la mémoire, sans aucun fichier sur le disque à inspecter, correspond à un schéma fortement associé aux logiciels malveillants qui cherchent à ne laisser aucune trace, et macOS refuse tout simplement de vous laisser passer outre.

Les attaques par script sur macOS ont une longue histoire, ce qui explique en partie l'existence même de cette protection. Notre panorama plus large des familles de logiciels malveillants Mac actuelles et de leurs vecteurs d'entrée explique à quel point cet écosystème s'appuie sur les scripts plutôt que sur l'exploitation de failles logicielles.

Faire correspondre l'alerte que vous avez vue à la protection déclenchée

Voici le repérage rapide :

• Vous avez collé dans le Terminal d'Apple et obtenu un avertissement avant que quoi que ce soit ne s'exécute, avec une possibilité de continuer : Terminal Paste Protection.
• Vous avez collé, quelque chose a démarré, puis a été arrêté, éventuellement dans un terminal tiers : blocage des commandes issues du presse-papiers.
• L'alerte mentionnait un script plutôt qu'un collage : analyse AppleScript, et la possibilité de passer outre dépend du fait que ce script était un fichier ou s'exécutait depuis la mémoire.

Si vous n'êtes pas certain de ce qui s'est produit, la section suivante détaille chaque alerte.

Décrypter chaque alerte

Une remarque sur la formulation avant de commencer. Apple maintient un article d'assistance grand public intitulé If your Mac blocks a Terminal command paste or script à l'adresse support.apple.com/en-us/127377, et cette page constitue la référence canonique pour les libellés exacts que votre Mac vous affiche. Je n'ai pas pu lire directement le corps de cette page pour cet article, aussi les titres d'alerte ci-dessous sont présentés comme les libellés rapportés par la presse spécialisée, et non comme des citations textuelles d'Apple. Si ce que vous avez vu diffère légèrement, faites confiance à votre écran et à l'article d'Apple plutôt qu'à une description de seconde main, y compris celle-ci.

Ce qui compte bien plus que le libellé exact, c'est la catégorie à laquelle appartient l'alerte, et ces catégories sont bien documentées.

Possible malware, Paste blocked (logiciel malveillant possible, collage bloqué)

La presse spécialisée rapporte ce titre d'alerte pour une correspondance heuristique. Heuristique signifie que macOS n'a pas reconnu une menace connue précise. Il a reconnu une forme de comportement qui ressemble au fonctionnement habituel des collages malveillants.

Cette alerte proposerait une option Paste Anyway (coller quand même), Apple prévenant que poursuivre peut malgré tout mettre en danger votre Mac et votre vie privée.

Soyez honnête avec vous-même sur ce que signifie ce bouton. Ce n'est pas un bouton qui dit « macOS s'est trompé ». C'est un bouton qui dit « j'assume la responsabilité de cette action ». Parce que la correspondance est heuristique plutôt que fondée sur une signature, les faux positifs sont réellement possibles, et un développeur qui colle une commande inhabituelle mais légitime peut la déclencher. C'est précisément pour cela que la possibilité de passer outre existe. Mais la propriété même qui rend les faux positifs possibles signifie aussi que l'alerte ne vous apprend rien de rassurant sur la commande elle-même. Le système a signalé un schéma. C'est désormais à vous d'apporter le jugement, et la règle de décision plus bas dans cet article est conçue exactement pour ce moment.

La seule chose à ne jamais faire, c'est de traiter Paste Anyway comme une formalité sur laquelle cliquer. Si vous vous surprenez à y aller par réflexe, arrêtez-vous et répondez d'abord aux questions de la section consacrée à la règle de décision. Cela prend une demi-minute.

Malware Detected, Paste Blocked (logiciel malveillant détecté, collage bloqué)

La presse spécialisée rapporte ce titre d'alerte pour une correspondance avec une signature de logiciel malveillant connu, et indique qu'elle s'accompagne d'aucune possibilité de passer outre.

C'est un message d'une nature catégoriquement différente de l'alerte heuristique. L'alerte heuristique dit « cela ressemble au genre de chose qui est généralement mauvais ». Celle-ci dit « nous avons déjà vu ceci et nous savons de quoi il s'agit ». Il n'y a pas de bouton parce qu'il n'existe aucun scénario raisonnable dans lequel un utilisateur normal collant une commande normale devrait passer outre une correspondance confirmée avec une menace connue.

Si vous obtenez cette alerte, la bonne réaction n'est pas de chercher une solution de contournement. C'est de considérer comme hostile la source qui vous a donné cette commande, de la fermer, et de passer aux étapes de confinement si quoi que ce soit a été exécuté. Ne retapez pas la commande à la main pour contourner la vérification du presse-papiers. N'essayez pas dans un autre terminal. Ne la transmettez pas à quelqu'un d'autre pour qu'il l'essaie. La commande n'est pas le problème que vous êtes en train de résoudre ; c'est la page ou le message qui vous l'a donnée.

Malicious Script Blocked (script malveillant bloqué)

La presse spécialisée rapporte ce titre d'alerte pour la troisième protection, celle de l'analyse d'AppleScript et de JXA. Elle apparaît lorsque le framework OpenScripting est sollicité pour exécuter un script dont le contenu correspond à une signature malveillante connue.

La possibilité de passer outre celle-ci dépend de l'endroit où réside le script, et Apple documente la règle clairement. Un script sous forme de fichier peut être débloqué par l'utilisateur. Un script exécuté depuis la mémoire ne peut pas l'être, en aucun cas.

Si vous voyez cette alerte en faisant quelque chose de légitime, comme exécuter un script d'automatisation que vous avez écrit ou fourni par un logiciel auquel vous faites confiance, la voie de contournement pour les scripts sous forme de fichier existe et vous pouvez l'emprunter. Mais commencez par faire l'évidence : ouvrez réellement le fichier de script dans un éditeur de texte. Un script que vous pouvez lire est un script que vous pouvez évaluer, et toute la raison pour laquelle macOS autorise le contournement pour les fichiers et pas pour la mémoire, c'est que le cas du fichier vous laisse cette possibilité.

Ce que fait réellement un contournement

Passer outre ne marque pas la commande comme sûre. Cela n'apprend pas à macOS que vous êtes un utilisateur de confiance. Cela ne vous exempte pas des autres protections. Concrètement, cliquer sur Paste Anyway dans l'avertissement de Terminal ne désactive pas le blocage des commandes issues du presse-papiers, qui est un mécanisme distinct opérant au niveau de XProtect après le démarrage du processus. Vous pouvez passer outre l'avertissement et voir malgré tout le processus résultant bloqué un instant plus tard s'il tente d'atteindre quelque chose de connu comme malveillant.

Cette superposition est une fonctionnalité, pas une redondance. Chaque protection part du principe que les autres pourraient échouer.

Pourquoi vous avez eu l'invite alors que votre ami développeur ne l'a jamais

C'est de loin la source de confusion la plus fréquente autour de l'avertissement de collage, et la réponse est documentée plutôt que mystérieuse.

La documentation Platform Security d'Apple indique que Terminal Paste Protection ne se déclenche que lorsque toutes les conditions suivantes sont réunies :

• L'utilisateur n'a pas ouvert l'app Terminal depuis plus de 30 jours.
• Aucun outillage de développement courant n'est détecté sur le système.
• Le collage provient d'une application spécifique.

Il existe également un délai de grâce de 24 heures après la configuration initiale, afin qu'un Mac tout neuf en cours de configuration n'assaille pas d'invites quelqu'un qui est légitimement en train de mettre en place son environnement.

Relisez ces conditions et remarquez ce qu'elles décrivent. Elles ne décrivent pas une commande dangereuse. Elles décrivent une personne.

La condition des 30 jours

Si vous utilisez Terminal régulièrement, cette protection vous est de fait invisible, car la première condition n'est jamais remplie. Ouvrir Terminal au cours d'une fenêtre quelconque de 30 jours suffit à vous maintenir hors du champ du déclencheur. C'est pourquoi les développeurs, les administrateurs système et toute personne qui vit dans un shell peuvent traverser toute la vie d'un Mac sans jamais voir cette boîte de dialogue.

Si vous n'ouvrez pour ainsi dire jamais Terminal, et qu'aujourd'hui vous l'ouvrez parce que quelque chose vous l'a dit, vous êtes exactement la personne que cette condition décrit.

La condition de l'outillage de développement

La deuxième condition recherche un outillage de développement courant sur le système. Une machine dotée d'un véritable environnement de développement appartient à quelqu'un qui colle des commandes dans le cadre normal de son travail, et avertir cette personne à chaque collage l'entraînerait à écarter l'avertissement sans le lire, ce qui rendrait la protection sans valeur.

Cette condition se trouve aussi être la réponse honnête pour les développeurs que l'invite agace, et nous y reviendrons dans la section dépannage, car le correctif n'est pas celui que les gens demandent d'ordinaire.

La condition de l'application source

La troisième condition porte sur la provenance du texte collé. Apple décrit la protection comme couvrant les collages issus de vecteurs d'attaque courants : navigateurs web, Messages, Mail, Aperçu et applications de messagerie. Un texte que vous avez copié depuis un document que vous avez rédigé, ou depuis une autre fenêtre de terminal, ne relève pas de la même situation qu'un texte qu'une page web ou le message d'un inconnu a placé dans votre presse-papiers.

C'est une distinction significative, car la diffusion ClickFix passe presque toujours par l'un de ces canaux. La commande doit vous parvenir d'une manière ou d'une autre, et elle vous parvient par les applications que vous utilisez pour lire ce que d'autres ont écrit.

Pourquoi ce ciblage est le bon choix de conception

Réunissez les trois conditions et vous obtenez un filtre qui se déclenche pour quelqu'un qui n'utilise pas normalement Terminal, n'a aucun environnement de développement, et vient de copier une commande depuis un navigateur ou un message. Ce n'est pas la description d'un utilisateur avancé malchanceux. C'est la description d'une victime de ClickFix, avec une grande précision.

Cela explique aussi quelque chose qui exaspère les gens : deux utilisateurs peuvent coller la commande identique et un seul est averti. Rien n'a changé dans la commande. L'évaluation porte sur les circonstances, pas seulement sur le contenu. Si vous voulez comprendre à quoi sert vraiment Terminal au-delà de cette seule alerte, notre guide complet de Terminal sur macOS Tahoe est un point de départ raisonnable — et, honnêtement, devenir quelqu'un qui utilise Terminal de manière délibérée est une meilleure défense à long terme que n'importe quelle boîte de dialogue.

La question d'iTerm2, Warp et Ghostty

C'est ici que la plupart des discussions dérapent, et elles dérapent d'une manière qui a des conséquences.

La conclusion courante est la suivante : cela ne protège que le Terminal d'Apple, donc si j'utilise iTerm2, je n'ai rien. C'est à moitié vrai et à moitié faux, et la distinction est probablement l'élément le plus utile de cet article.

L'invite de collage est spécifique à l'app Terminal d'Apple. La documentation d'Apple décrit Terminal Paste Protection comme un avertissement affiché lorsque l'utilisateur colle dans Terminal. iTerm2, Alacritty, Warp, Ghostty, Kitty, WezTerm et tous les autres ne vous montreront pas cette boîte de dialogue à moins que leurs propres développeurs n'implémentent un équivalent. Si vous vivez dans iTerm2, vous ne devez pas vous attendre à l'avertissement, et vous ne devez pas interpréter son absence comme un feu vert.

Le blocage des commandes issues du presse-papiers n'est pas spécifique au Terminal d'Apple. La formulation d'Apple est explicite sur ce point : lorsqu'un utilisateur colle du texte dans n'importe quel émulateur de terminal, y compris des applications de terminal tierces, XProtect suit l'arborescence de processus résultante et inspecte son comportement. Il ne surveille pas l'interface utilisateur du terminal. Il surveille ce que fait réellement le processus engendré par le collage, en comparant les artefacts réseau au service Safe Browsing d'Apple tout en évaluant le comportement au regard de techniques de logiciels malveillants connues.

Donc la formulation exacte est celle-ci : l'utilisateur d'un terminal tiers perd l'avertissement mais conserve le filet de sécurité. Vous perdez le ralentisseur destiné à l'humain, celui conçu pour vous interrompre en pleine ingénierie sociale. Vous conservez la vérification destinée à la machine, qui s'exécute ensuite.

Ce compromis mérite d'être compris plutôt que balayé d'un haussement d'épaules, car les deux protections attrapent des défaillances différentes. L'avertissement vous attrape avant que quoi que ce soit ne s'exécute, quand le coût de l'erreur est nul. Le filet de sécurité attrape le processus après son démarrage, quand le coût de l'erreur n'est pas nul, car une certaine quantité de code s'est déjà exécutée avant que le blocage ne survienne.

Il y a aussi une implication pratique sur la façon dont vous devriez vous comporter. Si vous utilisez un terminal tiers, vous êtes la personne pour qui la règle de décision ci-dessous compte le plus, car votre système d'exploitation ne va pas vous interrompre au moment du collage. Vous devez être votre propre boîte de dialogue.

Rien de tout cela n'est une critique d'iTerm2 ou de Ghostty. Ce sont d'excellents outils, et leurs utilisateurs appartiennent généralement à la population de développeurs qui serait de toute façon exclue de l'avertissement de collage par la condition de l'outillage. Cela signifie seulement que le profil de protection diffère de ce que beaucoup supposent, dans les deux sens.

Ce qu'est réellement ClickFix

Ces protections existent à cause d'un schéma d'ingénierie sociale précis et extrêmement efficace. Il s'appelle ClickFix, parfois décrit comme du pastejacking, et le comprendre protège davantage que mémoriser n'importe quel libellé d'alerte.

Le schéma est simple. Une page web ou un message vous convainc de copier une commande et de la coller dans Terminal. La mise en scène relève presque toujours de l'un de ces cas :

• Une fausse étape de vérification. Vous voyez quelque chose qui a l'allure d'un CAPTCHA ou d'un test de vérification humaine, mais au lieu de cliquer sur des images de feux tricolores, on vous dit de finaliser la vérification en exécutant une commande. C'est la variante la plus courante, et elle fonctionne parce que les tests de vérification ont entraîné tout le monde à suivre des instructions bizarres sans les remettre en question.
• Une fausse erreur avec un correctif à la clé. Une page vous annonce qu'un composant manque, qu'un codec est obsolète ou qu'un pilote a échoué, et fournit obligeamment la commande qui règle le problème. L'erreur est fictive. Le correctif est la charge utile.
• Un faux programme d'installation. Une page de téléchargement pour un logiciel réel et désirable présente une commande comme la méthode d'installation rapide, souvent aux côtés d'un bouton de téléchargement d'apparence normale.
• Une fausse mise à jour d'application de réunion. Vous cliquez sur un lien de réunion, on vous annonce que votre application de visioconférence a besoin d'une mise à jour avant que vous puissiez rejoindre la réunion, et on vous donne une commande à exécuter. La pression temporelle d'une réunion pour laquelle vous êtes déjà en retard fait le reste.

Pourquoi cela marche sur des gens prudents

ClickFix n'est pas un test d'intelligence. Cette attaque possède trois propriétés qui mettent en échec la prudence ordinaire.

Premièrement, c'est vous qui effectuez l'action. Aucun téléchargement n'est bloqué, aucune invite Gatekeeper n'apparaît, aucune app non signée n'est mise en quarantaine, parce que rien n'a été téléchargé de la manière que ces protections attendent. Vous avez saisi l'attaque de vos propres mains. Beaucoup des défenses sur lesquelles les utilisateurs de Mac comptent surveillent une autre porte.

Deuxièmement, la mise en scène fournit une raison. Chaque variante répond à la question « pourquoi suis-je en train de faire ça » avant que vous ne la posiez. Une vérification. Un composant manquant. Une installation plus rapide. Les gens ne résistent pas aux instructions accompagnées d'une explication, surtout quand elle est ennuyeuse.

Troisièmement, elle emprunte l'autorité d'une pratique légitime. De vrais logiciels fournissent réellement des instructions du type « collez cette commande ». L'attaque ne prétend pas être quelque chose d'inhabituel. Elle imite quelque chose de normal.

Ce dernier point explique pourquoi une famille d'attaques apparentée fonctionne également. Les fausses boîtes de dialogue système qui réclament votre mot de passe réussissent pour la même raison, ce que nous avons détaillé dans notre article sur la fausse invite de mot de passe du rapport de plantage Mac. Même ruse sous-jacente, surface différente.

Les recherches de Microsoft Threat Intelligence, et pourquoi elles changent votre façon d'évaluer les liens

Des recherches de Microsoft Threat Intelligence publiées le 2026-08-05 ont suivi une opération ClickFix visant macOS répartie sur plus de 250 domaines de façade. L'ampleur seule mérite qu'on s'y arrête, mais le mécanisme est l'élément important.

Selon ces recherches, un petit fragment de JavaScript prend l'empreinte de chaque visiteur avant de décider quoi lui montrer. Les signaux rapportés incluent la chaîne de plateforme, les dimensions de l'écran et de la fenêtre, les données WebGL, le fuseau horaire, le fait que la page soit dans une iframe et la prise en charge du tactile. Le script traque aussi spécifiquement les chercheurs en sécurité au moyen d'un compteur qui s'incrémente tant que la console de développement du navigateur est ouverte, une astuce élégante qui transforme l'outillage même de l'analyste en signal de détection.

Les visiteurs qui ne correspondent pas au profil ciblé obtiennent des pages vierges ou des sites sans rapport. Les visiteurs qui remplissent les critères, c'est-à-dire les utilisateurs de Mac qui ressemblent à de vraies personnes, obtiennent une page aux couleurs de GitHub proposant une option Download for macOS (télécharger pour macOS), assortie d'un badge Verified Publisher falsifié. Les charges utiles rapportées dans ces recherches étaient MacSync et Atomic Stealer, couramment abrégé en AMOS.

Voici la conséquence qui change réellement votre comportement, et elle mérite d'être énoncée sans détour :

Parce que la page montre des contenus différents à des visiteurs différents, « je l'ai vérifiée et elle avait l'air correcte » ne vaut rien comme preuve. Pas plus que « mon ami l'a ouverte et il ne s'est rien passé ».

Vous n'évaluez pas une chose fixe. Vous évaluez quelque chose qui a décidé de ce qu'il serait en fonction de qui regardait. Un collègue qui a ouvert le lien sur une machine Windows, ou dans un navigateur avec les outils de développement ouverts, ou depuis un autre fuseau horaire, a pu voir une page entièrement vierge et rapporter en toute honnêteté que le lien était inoffensif. Ce rapport ne vous apprend rien sur ce qui vous a été montré à vous.

Le badge Verified Publisher falsifié mérite aussi une mention. Les badges de confiance ne sont que des pixels. Tout ce qu'un site légitime peut afficher, un site malveillant peut le copier à l'identique. Un badge est une affirmation, pas une preuve, et le prendre pour une preuve relève de la même catégorie d'erreur que faire confiance à une invite de mot de passe parce qu'elle a l'air d'avoir été dessinée par macOS.

Ce qui est réellement en jeu

Il est facile de lire tout cela comme une abstraction, alors voici ce que fait concrètement le logiciel malveillant qui se trouve au bout d'un ClickFix réussi.

Des recherches de Huntress publiées le 2026-08-06 ont décrit un stealer macOS écrit en Go, diffusé via ClickFix, qui se fait passer pour des composants macOS légitimes. Ses cibles, telles que décrites dans ces recherches : les bases de données de mots de passe des navigateurs, le trousseau Apple, les cookies et les fichiers d'identifiants.

Le trousseau est tout l'enjeu

Concentrez-vous un instant sur le trousseau, car c'est lui qui définit le rayon de l'explosion. Votre trousseau d'ouverture de session n'est pas un mot de passe. Ce sont des identifiants Wi-Fi, des identifiants d'applications, des certificats, des notes sécurisées et, pour beaucoup de gens, des années d'identifiants de sites web accumulés. Ce qui atteint le trousseau n'a pas volé un mot de passe. Il a volé l'ensemble.

C'est pourquoi le conseil honnête après une compromission suspectée n'est jamais « changez le mot de passe que vous avez saisi ». Chaque identifiant qui résidait sur cette machine doit être considéré comme exposé.

La fonction DRAIN et la conception à 1 %

Les recherches de Huntress ont également décrit une fonction nommée DRAIN dans ce stealer. Elle recherche les formats de portefeuilles Bitcoin, Litecoin, Dogecoin, Ethereum et XRP, et peut transférer une fraction du solde contrôlée par une variable DRAIN_PCT. Cette variable est configurable jusqu'à 1 %.

Arrêtez-vous sur ce chiffre. Un attaquant qui vide un portefeuille se fait prendre immédiatement, car la victime s'en aperçoit et l'incident commence. Un attaquant qui prend 1 % pourrait ne jamais être remarqué. La conception est délibérément discrète, et elle est optimisée pour rester en place plutôt que pour un seul gros coup.

La conséquence pratique pour vous : « mon solde a l'air correct » n'est pas une preuve que vous êtes indemne. Un vol conçu pour être assez petit pour passer inaperçu passera effectivement inaperçu. Si vous avez des raisons de croire que quelque chose s'est exécuté sur votre Mac, ne prenez pas l'absence de perte évidente pour un feu vert.

Trois mois

Les recherches de Huntress ont rapporté qu'un Mac sous surveillance avait été compromis environ trois mois avant sa détection.

Trois mois de navigation. Trois mois de connexions, de sessions, de cookies et de tout ce qui est passé par cette machine. Si vous cherchez à évaluer l'urgence du plan d'action ci-dessous, ce chiffre est votre étalon. Ces infections ne font pas de bruit. Rien ne s'affiche. Le Mac ne devient pas lent d'une manière que vous remarqueriez. Tout le modèle économique repose sur le fait que vous ne regardiez pas.

Une règle de décision réellement utilisable

C'est le cœur pratique de l'article. Vous n'avez pas besoin de lire couramment la syntaxe du shell pour prendre une bonne décision ici. Vous avez besoin de répondre honnêtement à cinq questions.

Question 1 : suis-je allé chercher cela, ou quelque chose m'a-t-il dit de l'exécuter ?

C'est de très loin la question qui porte le plus d'information, et y répondre ne vous coûte rien.

Vous êtes allé chercher : vous avez décidé d'installer un outil précis, vous avez navigué vous-même jusqu'à la documentation de cet outil, et vous y avez trouvé une commande d'installation. L'intention est née de vous.

Quelque chose vous l'a dit : une page sur laquelle vous êtes arrivé, une erreur que vous n'aviez pas cherchée, un message que quelqu'un vous a envoyé, ou un écran de vérification a produit l'instruction. L'intention est née ailleurs.

Presque toutes les victimes de ClickFix relèvent de la seconde catégorie. Presque tous les collages légitimes relèvent de la première. Si vous êtes dans la seconde catégorie, la réponse par défaut est non, et tout ce qui suit consiste à déterminer si vous avez suffisamment de raisons de renverser ce défaut.

Question 2 : est-ce que je sais ce que fait chaque partie de cette commande ?

Pas l'idée générale. Chaque partie.

Si la réponse est non, vous avez deux options : apprendre ce qu'elle fait avant de l'exécuter, ou ne pas l'exécuter. Il n'existe pas de troisième option où vous exécutez quelque chose que vous ne comprenez pas parce qu'une page vous a assuré que tout allait bien. Si la commande est longue, obscurcie, encodée en base64 ou pleine de caractères que vous ne savez pas expliquer, considérez l'obscurcissement lui-même comme la réponse. Les commandes d'installation légitimes ne cherchent généralement pas à être illisibles.

Question 3 : est-ce qu'elle redirige un téléchargement directement dans un shell ?

La forme à surveiller est celle d'une commande qui récupère quelque chose sur le réseau et l'exécute immédiatement, généralement en redirigeant la sortie d'un outil de téléchargement vers sh ou bash. Ce schéma signifie que vous exécutez du code que vous n'avez jamais vu, provenant d'un serveur, au moment même où il arrive.

Ce schéma n'est pas automatiquement malveillant. De vrais projets l'utilisent, et nous traiterons cela honnêtement dans la section suivante. Mais cela signifie bien que le code que vous exécutez est ce que ce serveur décide de vous envoyer à cet instant, ce qui, compte tenu des conclusions de Microsoft Threat Intelligence sur la prise d'empreinte des visiteurs, n'est pas nécessairement ce qu'il envoie à quelqu'un d'autre.

Question 4 : est-ce qu'elle demande sudo et mon mot de passe ?

Exécuter avec sudo revient à céder les droits d'administrateur. Ce n'est pas automatiquement mauvais, puisque de nombreux programmes d'installation légitimes en ont besoin, mais cela fait passer les conséquences d'une erreur de graves à très graves. Augmentez votre vigilance en proportion. Une commande qui réclame les droits root depuis une source dont vous ne pouvez pas répondre n'est pas un cas limite.

Habitude connexe à cultiver : votre mot de passe d'administrateur devrait être quelque chose que vous saisissez en réponse à des actions que vous avez initiées, jamais en réponse à une invite apparue d'elle-même.

Question 5 : la source est-elle la documentation officielle du projet, atteinte par ma propre navigation ?

Le signal le plus fort est la combinaison de deux éléments : l'instruction se trouve sur le site ou le dépôt officiel du projet logiciel, et vous y êtes arrivé en naviguant vous-même plutôt qu'en suivant un lien que quelqu'un vous a tendu.

Cette combinaison compte, car chacune des deux moitiés prise isolément est faible. Une page peut ressembler exactement à la documentation d'un projet. Un lien peut pointer n'importe où tout en affichant n'importe quoi. Taper vous-même le nom du projet dans un moteur de recherche, vérifier que le domaine correspond bien au projet réel et trouver les instructions d'installation dans la documentation où elles ont leur place constitue un acte réellement différent du fait de cliquer vers une page qui vous a dit quoi exécuter.

Comment lire une commande avant de l'exécuter

Si vous avez conclu qu'une commande est probablement légitime mais que vous voulez vérifier plutôt qu'espérer, voici la marche à suivre.

Collez-la dans un éditeur de texte, pas dans Terminal. Un éditeur de texte brut n'exécute rien. Cela brise immédiatement le schéma dont dépend l'attaque, à savoir que vous collez à un endroit où appuyer sur Retour l'exécute.

Regardez l'ensemble, y compris ce qui a défilé hors de vue. Une astuce vraiment vicieuse consiste en une commande complétée par des espaces ou des sauts de ligne, de sorte que ce que vous voyez est inoffensif et que la charge utile se trouve loin à droite ou sur une ligne suivante. Un éditeur de texte avec le retour à la ligne activé vous montre tout. Terminal, non.

Cherchez un saut de ligne final. Si le texte copié se termine par un saut de ligne, le coller dans un shell l'exécute immédiatement, sans aucune chance de le lire. C'est une technique délibérée. C'est aussi une des raisons d'être de l'avertissement de collage.

Pour un programme d'installation du type télécharger-et-exécuter, séparez les étapes. Au lieu de rediriger un téléchargement directement dans un shell, téléchargez le script dans un fichier, ouvrez ce fichier dans un éditeur de texte, lisez-le, et alors seulement exécutez-le. Cela vous coûte environ quatre-vingt-dix secondes et convertit un acte de foi en acte d'inspection. Si le script fait des milliers de lignes de logique dense que vous ne pouvez pas évaluer, vous aurez au moins appris quelque chose de réel sur l'ampleur de la confiance que vous accordez.

Décodez tout ce qui est encodé. Si une partie de la commande est en base64 ou en hexadécimal, décodez-la et lisez le résultat plutôt que de l'exécuter. Si un programme d'installation légitime a besoin de vous cacher son propre contenu, cela mérite une question.

Dans le doute, abstenez-vous. Le coût de ne pas exécuter une commande légitime, c'est d'installer quelque chose par un chemin plus lent. Le coût d'en exécuter une malveillante figure dans la section précédente.

Pourquoi les installateurs à la Homebrew ressemblent trait pour trait à l'attaque

Il est temps d'être honnête sur la partie inconfortable, car prétendre le contraire rendrait cet article inutile.

Ce qui rend la chose réellement difficile, c'est que le schéma légitime et le schéma d'attaque ont la même forme. Le programme d'installation de Homebrew en est l'exemple canonique : la méthode officiellement documentée pour l'installer consiste à coller dans votre terminal une commande qui télécharge un script et l'exécute. Homebrew ne fait rien de mal. C'est un projet largement utilisé, largement reconnu, et cette méthode d'installation est une pratique standard depuis plus de dix ans. Quantité d'autres outils respectables font de même.

Ainsi, tout conseil revenant à « ne collez jamais de commandes dans Terminal » est un conseil qui vous ferait renoncer à installer Homebrew, et les gens l'ignorent à juste titre. La version absolutiste de cette règle échoue parce qu'elle contredit une pratique légitime quotidienne, et les règles que les gens ne peuvent pas suivre ne protègent personne.

Ce qui sépare réellement les deux cas, ce n'est pas la commande. C'est le contexte qui l'entoure.

La façon dont vous êtes arrivé à l'instruction. Avec Homebrew, vous avez décidé d'installer Homebrew, vous êtes allé sur le site de Homebrew et vous avez lu les instructions d'installation. Avec ClickFix, une page que vous n'aviez pas cherchée vous a dit d'exécuter quelque chose pour résoudre un problème dont vous ignoriez l'existence jusqu'à ce que cette page vous l'apprenne. La direction de l'intention est inversée, et cette inversion est l'indice.

Le fait que le domaine soit celui du projet. La commande doit résider sur le site réel du projet ou son dépôt réel. Pas un miroir, pas un article de blog, pas un lien raccourci, et pas une page dont l'habillage ressemble simplement à celui du projet. Vérifiez le domaine en le regardant plutôt qu'en regardant le logo de la page. Les recherches de Microsoft Threat Intelligence ont décrit une page aux couleurs de GitHub arborant un badge Verified Publisher falsifié, illustration précise de la raison pour laquelle l'identité visuelle n'est pas une vérification.

Le fait que la commande corresponde à des instructions publiées et corroborées. Recherchez de manière indépendante la commande d'installation du projet. Si ce qu'on vous a donné diffère de ce que le projet publie, vous avez votre réponse, et vous n'avez pas eu besoin de comprendre un seul caractère de syntaxe shell pour l'obtenir.

Le fait que la mise en scène fasse intervenir l'urgence ou une vérification. Les documentations d'installation légitimes ne vous disent pas que vous devez exécuter quelque chose pour prouver que vous êtes humain, ni qu'une réunion ne commencera pas tant que vous ne l'aurez pas fait. L'urgence et la mise en scène d'une vérification sont des signaux presque exclusivement liés aux attaquants.

Pour le dire simplement : la commande de Homebrew est sûre non pas à cause de ce qu'elle dit, mais à cause de l'endroit où vous l'avez trouvée et de la façon dont vous y êtes arrivé. Appliquez la même norme à tout le reste et vous trancherez correctement la plupart de ces cas.

Que faire si vous avez déjà collé et exécuté quelque chose

Si une commande s'est déjà exécutée, suivez cette liste dans l'ordre. N'essayez pas de tout faire en même temps, et ne sautez pas directement à l'étape spectaculaire de la fin.

1. Déconnectez ce Mac du réseau. Désactivez le Wi-Fi, débranchez l'Ethernet. Les stealers exfiltrent par le réseau, donc couper la connexion limite ce qui peut encore sortir. C'est la seule étape où la rapidité compte vraiment.

2. Ne redémarrez pas dans la panique, et ne commencez pas à supprimer des choses au hasard. Un redémarrage ne supprime pas la persistance et peut détruire des indices utiles sur ce qui s'est produit. Respirez. Les étapes suivantes comptent plus que les soixante prochaines secondes.

3. Changez vos mots de passe depuis un autre appareil, de confiance. C'est l'étape que les gens ratent, et la rater annule tout le reste. Si vous changez vos mots de passe sur le Mac potentiellement compromis, vous saisissez les nouveaux mots de passe dans la machine qui est peut-être encore en train de vous observer. Utilisez un téléphone, une tablette ou un autre ordinateur qui n'a jamais touché à l'incident. L'ordre compte : d'abord le compte Apple, puis le mot de passe principal de votre gestionnaire de mots de passe, puis la messagerie, puis les comptes financiers, puis tout le reste.

4. Considérez tout ce qui se trouve dans votre trousseau comme exposé et renouvelez-le. Huntress a décrit le trousseau Apple comme une cible explicite. Cela veut dire les mots de passe Wi-Fi, les identifiants d'applications, les identifiants enregistrés et les notes sécurisées. C'est fastidieux. Donnez la priorité à tout ce qui protège de l'argent, une identité, ou l'accès à d'autres comptes.

5. Révoquez les sessions actives partout où c'est possible. Les cookies volés permettent à un attaquant de contourner entièrement votre mot de passe, si bien que changer un mot de passe sans mettre fin aux sessions existantes peut laisser l'attaquant connecté. La plupart des grands services disposent d'une commande de déconnexion de tous les appareils ou d'une gestion des sessions actives. Utilisez-la après avoir changé chaque mot de passe.

6. Déplacez vos cryptomonnaies vers un nouveau portefeuille dont la phrase secrète a été générée sur un appareil sain. Si un portefeuille se trouvait sur ce Mac, la phrase secrète est compromise, et générer un nouveau portefeuille sur la même machine reproduit le problème. Générez-la sur un appareil auquel vous faites confiance, puis transférez les fonds. Et, conformément à la conception de DRAIN_PCT décrite par Huntress, ne laissez pas un solde d'apparence correcte vous en dissuader.

7. Vérifiez les ouvertures de session et les éléments en arrière-plan. Dans Réglages Système, sous Général, passez en revue les ouvertures de session et la liste des éléments en arrière-plan à la recherche de tout ce que vous ne reconnaissez pas ou ne pouvez pas expliquer.

8. Vérifiez les profils de configuration. Dans Réglages Système, sous Général puis Gestion des appareils, cherchez des profils que vous n'avez pas installés. Un profil que vous n'avez pas mis là est une découverte sérieuse, puisque les profils peuvent modifier largement le comportement du système.

9. Lancez un antivirus réputé. Un antivirus est utile pour repérer des familles connues et comme second avis, même s'il est le plus faible face à des charges utiles véritablement inédites. Notre guide des solutions antivirus pour Mac explique ce que ces outils détectent réellement et ce qu'ils ne détectent pas.

10. Comprenez que seul un effacement complet règle vraiment le problème. C'est la partie honnête. Effacer le Mac et réinstaller macOS, puis restaurer les données depuis une sauvegarde antérieure à l'incident, est la seule remédiation qui vous ramène véritablement à un état sain connu. Tout ce qui est en deçà revient à décider que le nettoyage a probablement été assez minutieux. Attention aux restaurations : restaurer des applications ou des réglages système depuis une sauvegarde postérieure à l'incident peut ramener le problème directement avec elle. Restaurez les documents ; réinstallez les applications depuis leurs sources.

11. Surveillez vos comptes plus longtemps que nécessaire en apparence. Étant donné qu'un Mac sous surveillance dans les recherches de Huntress est resté compromis environ trois mois avant détection, une semaine calme ne signifie pas grand-chose. Gardez un œil sur les comptes financiers et sur les règles de transfert de courrier, qui constituent une astuce de persistance favorite, pendant un bon moment ensuite.

Si dérouler cette liste vous a donné envie d'une passe de durcissement plus large, notre guide de sécurité et de confidentialité pour Mac couvre les réglages qui méritent d'être modifiés tant que rien n'est en feu.

Ce que ces protections ne couvrent pas

Être clair sur les limites n'est pas du pessimisme. C'est la différence entre une défense sur laquelle vous pouvez compter et un faux sentiment de sécurité qui finit par vous nuire.

Ce ne sont pas des antivirus. Ce sont des protections ciblées visant une seule technique de diffusion. Ce ne sont pas des scanners de logiciels malveillants à usage général, elles ne surveillent pas votre système entier en continu comme le ferait un produit de sécurité, et elles n'ont jamais été conçues pour cela.

Elles n'inspectent pas ce que vous tapez à la main. Terminal Paste Protection concerne le collage. Si un attaquant vous convainc de taper une commande manuellement, caractère par caractère, l'avertissement de collage n'a rien sur quoi agir. Le blocage des commandes issues du presse-papiers surveille toujours le comportement du processus résultant, mais le ralentisseur destiné à l'humain a disparu.

Elles n'aident pas face à un programme d'installation téléchargé normalement. Si vous téléchargez un DMG ou un PKG et que vous l'exécutez de manière ordinaire, vous êtes sur le terrain de Gatekeeper et de la notarisation, pas sur celui du collage dans Terminal. Ce sont des mécanismes différents avec des modes de défaillance différents, que nous avons traités dans notre article sur l'erreur « l'app est endommagée » et la quarantaine Gatekeeper.

Une attaque inédite ne correspondra à aucune signature connue. La correspondance de signatures attrape par définition ce qui a déjà été observé. L'évaluation comportementale et les vérifications Safe Browsing étendent cette portée, mais une charge utile réellement nouvelle utilisant une infrastructure réellement nouvelle peut passer à travers tout cela. L'absence d'avertissement n'est pas une preuve d'innocuité.

L'avertissement de collage ne se déclenche pas pour la plupart des gens. C'est voulu. Les conditions documentées excluent quiconque a ouvert Terminal au cours des 30 derniers jours ou dispose d'un outillage de développement installé. Si vous êtes développeur et supposiez que cette protection vous couvrait, ce n'est pas le cas, et c'est intentionnel.

Les terminaux tiers n'affichent pas l'avertissement. Traité plus haut, mais il vaut la peine de le répéter dans une section sur les limites, car c'est l'hypothèse la plus susceptible de nuire à quelqu'un.

Rien de tout cela ne traite la cause profonde. La cause profonde, c'est qu'un inconnu vous a persuadé d'exécuter son code. Un logiciel peut interrompre cela. Il ne peut pas décider à votre place.

Résolution des problèmes courants

Une commande d'installation légitime est bloquée

Problem : Vous installez un vrai logiciel depuis sa documentation officielle, et le collage est bloqué ou fait l'objet d'un avertissement.

Solution : D'abord, confirmez la légitimité de manière indépendante plutôt que de la supposer, puisque tout l'intérêt de l'attaque est de paraître légitime. Recherchez le projet vous-même, naviguez jusqu'à son site ou son dépôt officiel, et comparez la commande d'installation publiée à celle que vous détenez. Si elles correspondent et que vous avez atteint la documentation par votre propre navigation, il s'agit vraisemblablement d'un faux positif heuristique et la possibilité de passer outre existe exactement pour ce cas. Si l'alerte ne propose aucun contournement, ne le contournez pas, car une alerte sans contournement indique une correspondance avec une menace connue plutôt qu'une supposition heuristique. Envisagez d'installer via le paquet ou le programme d'installation du projet plutôt que par la méthode du collage.

L'alerte n'a pas de bouton de contournement

Problem : Il n'y a aucune option Paste Anyway ni aucun moyen évident de continuer.

Solution : Considérez cela comme le résultat voulu, pas comme un bug. La presse spécialisée associe l'alerte sans contournement à une correspondance avec une signature de logiciel malveillant connu, et Apple documente que les scripts exécutés depuis la mémoire ne peuvent pas être débloqués du tout. Ne retapez pas la commande à la main, n'essayez pas un autre terminal, et ne désactivez rien. Fermez la source qui vous a donné la commande et traitez cette source comme hostile. Si une partie s'est exécutée avant que le blocage n'intervienne, lancez le plan d'action ci-dessus, en commençant par la déconnexion du réseau.

L'alerte revient sans cesse pour la même commande

Problem : Vous écartez l'alerte, vous réessayez, et elle revient à chaque fois.

Solution : Ces protections ne tiennent pas de liste d'autorisation par commande, il n'y a donc aucune décision mémorisée qui puisse s'accumuler. Des alertes répétées signifient des évaluations répétées aboutissant à la même conclusion, ce qui est une information et non un dysfonctionnement. S'il s'agit de l'avertissement heuristique et que vous avez correctement vérifié la source, le contournement s'applique à chaque tentative. S'il s'agit de l'alerte de menace connue, la répétition est le système qui vous redit la même chose vraie. Si vous avez réellement besoin du logiciel, installez-le autrement : un paquet d'installation signé, un gestionnaire de paquets auquel vous faites déjà confiance, ou la version de l'App Store s'il en existe une.

Rien ne s'est collé du tout et vous ne savez pas si c'était bloqué

Problem : Vous avez appuyé sur Commande-V, rien n'est apparu, et aucune alerte n'est visible.

Solution : Écartez d'abord les causes banales. Vérifiez que Terminal a bien le focus clavier, confirmez que la copie a réussi en collant dans un éditeur de texte brut, et regardez si une alerte s'est ouverte derrière une autre fenêtre ou sur un autre écran. Si le texte se colle sans problème dans un éditeur de texte mais pas dans Terminal, une protection est un suspect raisonnable, et l'éditeur de texte vous offre désormais l'occasion de lire ce que vous vous apprêtiez à exécuter. Lisez-le là avant de réessayer. Si le collage a fonctionné mais que rien ne semble s'être produit après votre appui sur Retour, considérez qu'il peut s'agir d'un blocage de commande issue du presse-papiers et vérifiez dans le Moniteur d'activité s'il y a des processus inconnus.

Vous êtes développeur et vous voulez que les invites cessent

Problem : L'avertissement de collage interrompt votre travail normal.

Solution : Honnêtement : Apple n'expose aucun interrupteur pour ces protections dans l'interface utilisateur, et cet article ne va pas décrire une manière de les mettre en échec. Le comportement documenté résout pourtant déjà votre problème. L'avertissement de collage ne se déclenche que si l'utilisateur n'a pas ouvert Terminal depuis plus de 30 jours et qu'aucun outillage de développement courant n'est détecté et que le collage provient d'une application spécifique. Si vous le rencontrez régulièrement, la question utile est de savoir pourquoi votre machine ne ressemble pas à une machine de développement aux yeux du système. Disposer d'un outillage de développement normal et utiliser Terminal dans le cadre de votre flux de travail habituel est la voie de sortie prévue pour cette invite, et non un réglage caché.

Vous avez déjà cliqué sur Paste Anyway et vous le regrettez

Problem : Vous avez passé outre l'avertissement, la commande s'est exécutée, et ensuite vous avez commencé à douter de la source.

Solution : Rendez-vous au plan d'action ci-dessus et commencez à l'étape un, la déconnexion du Mac du réseau. N'attendez pas un symptôme visible, car le logiciel malveillant décrit dans les recherches de Huntress a été spécifiquement conçu pour n'en produire aucun, y compris avec une fonction de siphonnage de cryptomonnaies réglable jusqu'à 1 % d'un solde. Changez d'abord vos identifiants depuis un autre appareil. Passer outre l'avertissement ne désactive pas le blocage des commandes issues du presse-papiers, il est donc possible que le processus ait tout de même été arrêté ensuite, mais vous ne devriez pas le supposer sans preuve.

FAQ

Quelles versions de macOS disposent de ces protections ?

La documentation Platform Security d'Apple décrit Terminal Paste Protection, le blocage des commandes issues du presse-papiers et l'analyse AppleScript comme introduits dans macOS 26.4 ou version ultérieure. Les versions antérieures ne les possèdent pas. Si vous utilisez une version plus ancienne et que vous collez des commandes dans Terminal, rien de ce qui est décrit ici ne s'applique à votre machine.

Est-ce que cela fonctionne dans iTerm2, Warp ou Ghostty ?

En partie. Apple documente l'avertissement de collage comme une fonctionnalité de l'app Terminal, donc les terminaux tiers ne l'affichent pas à moins que leurs développeurs ne construisent un équivalent. Mais Apple indique que le blocage des commandes issues du presse-papiers couvre n'importe quel émulateur de terminal, y compris les applications tierces, car XProtect suit l'arborescence de processus résultante. Vous perdez l'avertissement, vous conservez le filet de sécurité.

Puis-je désactiver ces protections ?

Apple n'expose aucun interrupteur pour elles dans l'interface utilisateur, et cet article ne décrira pas de contournements. Si vous êtes développeur et que vous rencontrez des faux positifs, les conditions de déclenchement documentées sont votre réponse : l'avertissement de collage ne se déclenche pas sur les machines où un outillage de développement courant est présent ni sur celles où Terminal a été ouvert au cours des 30 derniers jours.

Paste Anyway est-il parfois le bon choix ?

Oui, dans une situation : vous avez cherché le logiciel vous-même, vous avez atteint sa documentation officielle par votre propre navigation, et la commande correspond à ce que le projet publie. C'est un véritable scénario de faux positif et le contournement existe pour cela. Si une page que vous n'aviez pas cherchée vous a tendu la commande, la réponse est non.

Si rien n'a été bloqué, cela veut-il dire que la commande est sûre ?

Non. Ces protections attrapent des signatures connues et des schémas comportementaux reconnus, donc une attaque véritablement inédite utilisant une nouvelle infrastructure peut passer sans rien déclencher. Le silence n'est pas une caution. La règle de décision de cet article, en particulier la question de savoir si vous êtes allé chercher la commande, reste votre défense principale.

Comment saurais-je seulement si quelque chose est passé ?

Souvent, vous ne le sauriez pas, et c'est la partie inconfortable. Huntress a rapporté un Mac sous surveillance compromis environ trois mois avant détection, et a décrit une fonction de siphonnage de cryptomonnaies configurable jusqu'à 1 % précisément pour que les victimes ne remarquent rien. Vérifiez les ouvertures de session, les profils de configuration et les sessions de vos comptes plutôt que d'attendre un symptôme.

Conclusion

Votre Mac a bloqué un collage. C'est un petit événement banal qui se révèle parfois être la chose la plus importante qui soit arrivée à votre machine cette année-là.

Le bon modèle mental est celui des couches. Terminal Paste Protection est la couche humaine, une interruption délibérément étroite visant les gens qui n'utilisent pas normalement Terminal et viennent de copier quelque chose depuis un navigateur ou un message. Le blocage des commandes issues du presse-papiers est la couche machine, opérant au niveau de XProtect sur l'arborescence de processus résultante, dans n'importe quel émulateur de terminal, y compris tiers. L'analyse d'AppleScript et de JXA couvre la voie des scripts, avec des contournements possibles pour les scripts sous forme de fichier et aucun pour les scripts exécutés depuis la mémoire. Chaque couche part du principe que les autres pourraient échouer, ce qui est l'hypothèse correcte.

Mais ces protections sont étroites, et le résumé honnête de leurs limites est le suivant : ce ne sont pas des antivirus, elles ne lisent pas ce que vous tapez à la main, elles n'attrapent pas une charge utile inédite sans signature connue, et par conception elles ne se déclencheront jamais pour la plupart des développeurs. L'attaque qu'elles existent pour stopper, quant à elle, est bien financée et bien conçue. Microsoft Threat Intelligence a rapporté plus de 250 domaines de façade prenant l'empreinte des visiteurs et traquant les chercheurs. Huntress a décrit un stealer visant le trousseau Apple avec une fonction de vol réglée pour rester sous le seuil de perception.

Ce qui nous ramène à la seule chose qu'un logiciel ne peut pas faire à votre place. Avant de coller quoi que ce soit dans un terminal, répondez à une question : suis-je allé chercher cette commande, ou quelque chose m'a-t-il dit de l'exécuter ? Si vous êtes allé la chercher, vérifiez que le domaine est bien celui du projet et que la commande correspond à ce que le projet publie, puis poursuivez. Si quelque chose vous l'a dite, la réponse par défaut est non, et la charge de la preuve incombe à ce qui vous l'a dite. Cette question prend cinq secondes, elle fonctionne sur toutes les variantes de cette attaque, passées et futures, et elle ne vous demande pas de lire une seule ligne de shell.

Si une commande s'est déjà exécutée, ne partez pas en vrille. Déconnectez-vous du réseau, changez vos identifiants depuis un autre appareil, renouvelez tout ce qui se trouve dans le trousseau, déplacez vos cryptomonnaies vers un portefeuille généré sur une machine saine, et planifiez l'effacement complet. L'attaque est conçue pour être convaincante. Se faire avoir n'est pas un défaut de caractère, et la récupération est une liste, pas une catastrophe.

À lire également : Un faux rapport de plantage Mac vous demande votre mot de passe ? Ne le saisissez pas