Vérifier un Mac contre les malwares : que faire après un faux CAPTCHA

« Au secours, comment supprimer ce malware ? » est un message récurrent sur les forums Mac, et en 2026 il remonte presque toujours à la même chose : une fausse page CAPTCHA qui convainc le visiteur d’ouvrir le Terminal et de coller une commande. Les chercheurs en sécurité appellent cette technique ClickFix, et des campagnes qui l’utilisent contre les utilisateurs de Mac ont été suivies toute l’année, certaines visant les développeurs et les utilisateurs d’outils d’IA. Ce guide explique comment cela se produit, que faire si vous avez déjà exécuté une commande et comment vérifier un Mac correctement au lieu de deviner.

Si vous avez déjà collé une commande : passez à la section correspondante plus bas, et changez vos mots de passe importants depuis un autre appareil sain avant de faire quoi que ce soit d’autre sur le Mac infecté.

Tri rapide

Comment les Mac s’infectent vraiment aujourd’hui

Les malwares pour Mac n’arrivent plus guère par une faille logicielle. La technique dominante en 2026 est l’ingénierie sociale, pas un défaut technique :

1. Une fausse page de vérification. Vous arrivez sur un site, souvent un site WordPress compromis mais par ailleurs légitime, et voyez ce qui ressemble à un contrôle humain standard de Cloudflare ou à une invite d’« optimisation de macOS ».
2. Elle vous demande d’ouvrir le Terminal et de coller une commande. Certaines variantes copient la commande automatiquement dans votre presse-papiers et vous guident : Commande+Espace, ouvrir le Terminal, coller, appuyer sur Retour.
3. Vous l’exécutez vous-même. Comme c’est vous qui appuyez sur Retour, et non un attaquant qui exploite une faille, cela passe à travers la plupart des défenses traditionnelles. Une campagne efface même la fenêtre du Terminal ensuite et affiche un faux message « Vérification réussie » pour que vous ne réalisiez pas qu’il s’est passé quelque chose.
4. La charge utile s’installe discrètement. Elle télécharge généralement un fichier dans un dossier temporaire, l’exécute en arrière-plan avec une commande comme nohup pour qu’il survive à la fermeture du Terminal et commence à collecter des données.

Aucun CAPTCHA, site web ou système de vérification légitime ne vous demande jamais d’ouvrir le Terminal et de coller quoi que ce soit. Ce seul fait couvre la grande majorité des infections actuelles de Mac. En mars 2026, Apple a ajouté à macOS une protection destinée à prévenir les utilisateurs avant l’exécution de ce type de commande, mais de nouvelles variantes continuent de contourner les simples avertissements : l’habitude compte donc plus que le correctif.

Si vous avez déjà exécuté une commande issue d’un site dans le Terminal

Considérez le Mac comme compromis dès maintenant, avant de faire quoi que ce soit d’autre :

1. Depuis un autre appareil sain, changez les mots de passe de votre messagerie, de votre banque et de tout compte pour lequel vous utilisez un gestionnaire de mots de passe.
2. Cherchez l’indicateur Macfinger. Si le chemin ~/Library/Caches/com.apple.metadata/com.apple.verified existe sur votre Mac, un chercheur en sécurité le signale comme un indice de cette campagne précise.
3. Déconnectez-vous du réseau si vous soupçonnez une exfiltration active et en cours, puis poursuivez avec les vérifications ci-dessous.
4. Ne faites pas confiance un moment aux invites du Trousseau. Certaines campagnes cherchent précisément à récupérer le mot de passe de votre Trousseau via une fausse boîte de dialogue système après l’exécution de la commande initiale. Si vous voyez une invite inattendue de mot de passe du Trousseau dans les heures qui suivent, annulez-la et ne tapez rien.
5. Notez ce qui s’est passé : quel site, à peu près quand et ce que la page vous demandait. Cela aide si vous devez le signaler ou demander de l’aide.
6. Ne ré-exécutez pas la commande, et ne la collez nulle part ailleurs pour « voir ce qu’elle fait ».

Signes que votre Mac est peut-être infecté

• Une utilisation élevée et inexpliquée du processeur quand le Mac est au repos, visible dans le Moniteur d’activité.
• Des redirections du navigateur, des fenêtres publicitaires inattendues ou un nouveau moteur de recherche par défaut que vous n’avez pas choisi.
• De fausses invites de mise à jour qui apparaissent en dehors de Réglages Système.
• Des éléments de connexion ou des éléments d’arrière-plan que vous ne reconnaissez pas.
• Un Mac nettement plus chaud ou des ventilateurs plus bruyants sans cause évidente.

Aucun de ces signes ne prouve à lui seul une infection. L’indexation de Golden Gate après la mise à jour peut elle aussi faire grimper le processeur et la chaleur ; consultez notre guide Données système si le stockage paraît anormalement plein en même temps. C’est la vérification ci-dessous qui tranche, dans un sens comme dans l’autre.

Où se cachent les malwares Mac

Les techniques de persistance sur Mac sont bien documentées et se regroupent autour d’un petit nombre d’emplacements :

Beaucoup de logiciels légitimes utilisent aussi ces emplacements. Ce qui compte, c’est une entrée que vous ne reconnaissez pas.

Comment vérifier, pas à pas

1. Moniteur d’activité. Ouvrez-le, triez par CPU et cherchez des processus que vous ne reconnaissez pas, surtout ceux aux noms inhabituels ou d’apparence aléatoire.
2. Éléments de connexion et extensions. Réglages Système > Général > Éléments de connexion et extensions. Cliquez sur tout ce que vous ne reconnaissez pas et supprimez-le. Vérifiez aussi la section « Autoriser en arrière-plan » du même écran.
3. LaunchAgents et LaunchDaemons. Ouvrez le Finder, appuyez sur Commande+Maj+G et vérifiez chacun de ces chemins :

/Library/LaunchDaemons/
/Library/LaunchAgents/
~/Library/LaunchAgents/

Cherchez des fichiers .plist inconnus, surtout aux noms génériques ou modifiés récemment. Trier chaque dossier par date de modification fait remonter les fichiers récents.

4. Profils de configuration. Réglages Système > Général > Gestion des appareils, ou Confidentialité et sécurité > Profils selon votre version de macOS. Supprimez tout profil que vous n’avez pas installé vous-même.
5. Extensions de navigateur. Consultez la page d’extensions de chaque navigateur séparément et supprimez tout ce qui vous est inconnu.
6. Fichiers temporaires du vecteur d’infection. Si vous avez exécuté une commande de type ClickFix, vérifiez /tmp à la recherche de fichiers récemment créés que vous ne reconnaissez pas.

Supprimer ce que vous trouvez

1. Quittez d’abord l’app ou le processus suspect, depuis le Moniteur d’activité s’il refuse de se fermer normalement.
2. Supprimez l’app elle-même du dossier Applications.
3. Supprimez le plist de LaunchAgent ou de LaunchDaemon correspondant que vous avez repéré plus haut.
4. Retirez l’entrée de l’élément de connexion ou d’arrière-plan.
5. Redémarrez le Mac.
6. Rouvrez le Moniteur d’activité et Éléments de connexion et extensions, et confirmez que rien de suspect n’est réapparu.
7. Pendant la semaine suivante, surveillez le retour des symptômes : pics de processeur au repos, redirections du navigateur, fausses invites de mise à jour ou nouveaux éléments de connexion inconnus.

Quand seule une réinitialisation d’usine règle vraiment le problème

La suppression manuelle fonctionne pour les adwares simples et les détourneurs de navigateur. Elle n’est pas fiable contre un véritable infostealer qui s’est déjà exécuté avec toutes les autorisations de l’utilisateur, car vous ne pouvez pas être certain d’avoir trouvé et annulé tout ce qu’il a touché, téléchargé ou configuré. Si l’un de ces cas s’applique, un effacement propre et une réinstallation de macOS sont la voie la plus sûre :

• Vous avez exécuté une commande du Terminal issue d’une page suspecte, et le malware a eu le temps de s’exécuter avant que vous ne le remarquiez.
• Vous avez fourni un mot de passe administrateur ou un accès au Trousseau lors d’une invite que vous croyez maintenant faire partie de l’attaque.
• Les symptômes reviennent après avoir supprimé tout ce que vous avez pu trouver.
• Vous manipulez des données sensibles, des identifiants ou des portefeuilles de cryptomonnaies sur le Mac. Consultez notre guide du modèle de menaces des hot wallets si cela vous concerne.

Sauvegardez vos fichiers (pas vos apps ni vos réglages système, qui pourraient ramener l’infection), effacez le disque depuis la Récupération et faites une installation propre. Dans l’ordre :

1. Sauvegardez uniquement vos documents et vos photos.
2. Effacez le Mac, soit avec Effacer contenu et réglages dans Réglages Système > Général > Transférer ou réinitialiser, soit depuis la Récupération macOS.
3. Réinstallez macOS.
4. Configurez le Mac comme neuf et ne restaurez que vos documents.
5. Réinstallez vos apps depuis leurs sources officielles, pas depuis une ancienne sauvegarde.

Après avoir changé vos mots de passe

• Déconnectez toutes les sessions de vos comptes importants, quand le service le propose.
• Activez la validation en deux étapes ou les clés d’accès pour la messagerie, la banque et votre gestionnaire de mots de passe.
• Cherchez des connexions ou des e-mails de réinitialisation de mot de passe que vous ne reconnaissez pas.
• Surveillez de près vos relevés bancaires et de cartes dans les semaines à venir.
• Si vous avez utilisé un portefeuille de cryptomonnaies sur ce Mac, considérez sa phrase de récupération comme exposée.

Après le nettoyage : fermez la porte par laquelle c’est entré

• Ne collez jamais dans le Terminal une commande issue d’un site web, quelle que soit la façon dont elle est présentée. Aucun processus de vérification légitime ne l’exige.
• Si une page vous dit que votre navigateur doit « prouver qu’il n’est pas un robot » d’une manière qui implique le Terminal, fermez l’onglet.
• Gardez Gatekeeper et XProtect activés et macOS à jour. Voyez quelle mise à jour de sécurité il faut à votre Mac.
• Avant d’installer une app provenant de l’extérieur du Mac App Store, consultez notre guide sur comment vérifier qu’une app est authentique.

En bref

• La plupart des malwares Mac actuels se propagent via ClickFix : un faux CAPTCHA ou une page de vérification qui vous pousse à coller vous-même une commande dans le Terminal.
• Si vous avez déjà exécuté une telle commande, changez immédiatement vos mots de passe importants depuis un autre appareil.
• Vérifiez le Moniteur d’activité, Éléments de connexion et extensions, les LaunchAgents et LaunchDaemons et les profils de configuration à la recherche de tout élément inconnu.
• Face à une véritable infection par infostealer, un effacement propre suivi d’une réinstallation est plus fiable qu’une suppression manuelle.