Des pirates exploitent ChatGPT et des annonces Google pour pousser des commandes Terminal et installer MacStealer sur macOS. Voyez les risques et protégez-vous.
© RusPhotoBank
Des spécialistes de la sécurité numérique ont mis au jour une combine inquiétante: des attaquants s’appuient sur ChatGPT et des publicités Google pour pousser des propriétaires de Mac à exécuter, dans le Terminal, des commandes piégées. À la clé, l’installation en douce de MacStealer, un cheval de Troie capable de dérober des mots de passe iCloud, des fichiers et des données de cartes bancaires.
Selon Huntress, la campagne visait les internautes qui cherchaient sur Google comment libérer de l’espace disque sous macOS. Les pirates ont monté une véritable conversation dans ChatGPT, ont entretenu un échange courtois sur les façons de gagner de la place et y ont glissé, mine de rien, une commande dangereuse. Ils ont ensuite rendu le lien public et payé pour le propulser via Google Ads, afin de le hisser en tête des résultats. L’appât fonctionne parce qu’il a tout d’une routine: interface familière, ton serviable, promesse d’une solution rapide. Une ruse d’autant plus efficace qu’elle paraît banale.
Un utilisateur voit un lien vers un échange sur ChatGPT, le prend pour une source sûre et suit les étapes de nettoyage. En exécutant la commande dans le Terminal, il installe en réalité AMOS Stealer, une variante de MacStealer qui collecte discrètement des mots de passe, élève ses privilèges jusqu’au niveau root et met en place des mécanismes de persistance. La même ficelle a été utilisée avec des conversations Grok sur X.
Le danger, c’est que cette méthode contourne de fait les défenses de macOS. Le système fait confiance aux actions lancées par l’utilisateur, si bien qu’aucune alerte n’apparaît lorsque la commande est saisie manuellement. C’est précisément ce qui rend le stratagème si discret.
Les spécialistes appellent à la prudence: ne collez jamais de commandes dans le Terminal si vous n’êtes pas absolument certain de leur provenance. Les liens sponsorisés sur Google ne sont pas automatiquement sûrs, et la popularité de ChatGPT peut entretenir un faux sentiment de confiance. Il s’agit de l’une des premières attaques où des criminels exploitent directement des plateformes d’IA comme appât, et les experts s’attendent à ce que cette approche se développe encore.