AmnesiaStealer : ce malware Mac pilote votre navigateur pendant que vous regardez

Vous êtes tranquillement connecté à votre boîte mail et à votre banque. À plusieurs kilomètres de là, un inconnu regarde votre session en direct et navigue à votre place. Sur votre écran, rien ne bouge.

C'est ce que permet AmnesiaStealer, un logiciel malveillant qui vise les Mac, analysé par les chercheurs de Jamf Threat Labs (le laboratoire de sécurité de Jamf, une entreprise spécialisée dans la protection des appareils Apple). Précisons le périmètre d'emblée : un seul programme, repéré sur macOS, ni faille d'Apple ni virus qui s'installerait tout seul.

Ce qui le distingue de la masse des voleurs de mots de passe tient à sa troisième arme. Après avoir aspiré vos données, il peut reprendre la main sur vos sessions ouvertes. Un logiciel espion classique fait les poches ; celui-ci s'installe au volant.

Dans cet article :

• Une fausse page GitHub, une commande à coller, et le Mac est ouvert
• La partie qui fait vraiment peur : votre navigateur téléguidé en direct
• Pourquoi votre double authentification ne vous sauvera pas
• La stratégie Posthumain

Une fausse page GitHub, une commande à coller, et le Mac est ouvert

Tout commence par une page qui imite GitHub (la plateforme d'hébergement de code la plus utilisée au monde) et affiche un gros bouton « Télécharger pour macOS ». La victime, souvent arrivée là par un résultat de recherche piégé, croit installer un utilitaire. On lui demande alors de copier une commande et de la coller dans le Terminal, l'application qui exécute des instructions texte sur un Mac [1].

Cette technique porte un nom : ClickFix. Le principe consiste à faire croire à un bug, à un CAPTCHA à valider (le test qui vérifie que vous n'êtes pas un robot) ou à une installation à terminer, pour pousser l'internaute à exécuter lui-même la commande piégée. La victime s'infecte de ses propres mains.

Et c'est redoutablement efficace, parce que la manœuvre contourne les protections habituelles. L'antivirus n'a aucun fichier suspect à bloquer, et une commande collée par l'utilisateur ne déclenche pas les garde-fous d'Apple sur les applications téléchargées. La même mécanique s'est déjà retrouvée dans une fausse mise à jour piégée poussée via le Wi-Fi d'hôtels.

Le phénomène explose. Les détections d'attaques ClickFix ont bondi de 517 % au premier semestre 2025, ce qui en a fait le deuxième vecteur d'attaque le plus courant derrière le hameçonnage classique, selon l'éditeur de sécurité ESET [5].

Après un reflux au second semestre 2025, ces détections ont de nouveau plus que doublé au premier semestre 2026, et la technique s'est étendue aux fausses pages d'aide autour de l'IA comme aux écrans de connexion aux services en ligne [10].

La tendance de fond est claire : coller une commande dans un terminal est devenu l'une des portes d'entrée préférées des attaquants. Et le Mac n'est plus épargné, puisque les voleurs de données y forment désormais la catégorie de logiciels malveillants la plus dynamique [6].

Une fois la commande lancée, un script silencieux, qui s'efface tout seul, télécharge le vrai programme, écrit en langage Rust [3]. Au passage, le Mac coupe discrètement son propre son, pour masquer les bips que joue le Finder quand des fichiers sont copiés en masse.

Puis vient le moment clé. Une fausse fenêtre, quasi identique à un vrai message système d'Apple, réclame votre mot de passe de session. Elle n'a pas de bouton pour fermer et réapparaît tant que vous n'avez pas tapé un mot de passe valide. Avec lui, le programme ouvre votre trousseau (le coffre-fort de mots de passe de macOS), vos notes, vos documents et vos sessions Telegram.

La partie qui fait vraiment peur : votre navigateur téléguidé en direct

Jusqu'ici, on reste dans le vol de données classique. AmnesiaStealer collecte cookies, identifiants enregistrés, historique, extensions et portefeuilles de cryptomonnaies dans 16 navigateurs de la famille Chrome [2]. Des dizaines de programmes savent déjà faire cela.

La nouveauté tient dans un troisième module, baptisé stream_module, que l'attaquant ne déclenche qu'à la demande. Une fois activé, il clone le profil de votre navigateur, le relance en mode invisible (headless, c'est-à-dire sans fenêtre affichée à l'écran) et s'y connecte.

Ce module sait dupliquer le profil de sept navigateurs basés sur Chrome : Chrome, Edge, Brave, Opera, Vivaldi, Arc et Chromium. Tous partagent le même moteur interne et le même chiffrement des cookies.

Concrètement, l'attaquant obtient une retransmission vidéo de votre session, plus le contrôle de la souris, du clavier et de la navigation. Il peut ouvrir vos e-mails, votre banque ou vos réseaux sociaux sous votre identité, sans que rien ne change sur votre écran [4].

La technique s'appuie sur le Chrome DevTools Protocol, l'interface interne que Chrome expose normalement aux développeurs pour piloter le navigateur. D'autres logiciels malveillants l'avaient déjà détournée par le passé.

Mais selon les chercheurs, AmnesiaStealer serait le premier malware documenté sur Mac à combiner un profil cloné et cette prise de contrôle en direct, pour manipuler des sessions déjà authentifiées depuis un navigateur caché tournant sur la machine infectée [2]. Le nom du programme vient de son serveur de commande, baptisé « Amnesia Panel ».

Pourquoi votre double authentification ne vous sauvera pas

C'est le point que peu de gens ont en tête. La double authentification, ce code reçu par SMS ou par application qui s'ajoute au mot de passe, protège le moment de la connexion. L'attaquant, lui, n'a aucune connexion à faire.

Il réutilise votre cookie de session, ce petit jeton que le site dépose dans votre navigateur après votre connexion pour ne pas vous redemander vos identifiants à chaque page. C'est l'équivalent du bracelet qu'on vous pose à l'entrée d'un festival : qui tient le bracelet est réputé déjà contrôlé.

Voler ce jeton revient à voler la session entière, sans repasser par le mot de passe ni par le code. Une analyse de Microsoft citée en 2025 estimait que 80 % des contournements de double authentification reposaient sur ce détournement de sessions [7].

Et le carburant ne manque pas. L'entreprise SpyCloud dit avoir récupéré 8,6 milliards de cookies de session volés sur la seule année 2025, chacun capable de contourner la double authentification.

Ce mécanisme se retrouve dans d'autres attaques récentes, où un simple lien suffit à retourner un outil contre son propriétaire, comme dans cette faille qui siphonnait Jira et Confluence. La cible s'est déplacée du mot de passe vers la session déjà ouverte.

Dans le cas d'AmnesiaStealer, l'attaquant fait mieux que rejouer le cookie ailleurs : il pilote votre navigateur, avec votre profil, sur votre machine. Les défenses qui repèrent une connexion « depuis un appareil inconnu » sont donc totalement aveugles.

La stratégie Posthumain

Cette menace a le mérite d'être franche : elle repose presque entièrement sur un geste humain. La première ligne de défense est donc gratuite et à votre portée. Le problème arrive après, une fois l'infection en place, car changer votre mot de passe ne suffira pas.

La règle d'or, avant tout le reste

Une seule habitude bloque la quasi-totalité de ces attaques : ne jamais coller dans le Terminal une commande trouvée en ligne que vous ne comprenez pas entièrement [1]. Aucun site légitime, aucune mise à jour sérieuse ne vous le demandera. Un CAPTCHA qui vous fait ouvrir le Terminal est une arnaque, point.

Gardez aussi votre Mac à jour. Depuis macOS Tahoe 26.4, Apple affiche un avertissement natif quand vous tentez de coller une commande potentiellement piégée dans le Terminal [8]. Ce filet de sécurité n'existe que si votre système est récent.

Vous avez peut-être déjà cliqué

Reste le scénario le plus délicat, celui que la plupart des articles évitent : celui où c'est déjà fait. Si vous avez tapé votre mot de passe dans une de ces fausses fenêtres, l'attaquant détient votre trousseau, vos cookies et peut-être une session vivante de votre banque.

Dans ce cas, l'ordre des gestes compte plus que les gestes eux-mêmes. Se précipiter sur le changement de mot de passe est justement l'erreur qui laisse la porte ouverte, parce qu'une session déjà volée, elle, reste active. Alors, que faire exactement, et dans quel ordre ?