En 2026, les chercheurs en menaces macOS ont documenté PamStealer, un infostealer ciblant exclusivement les machines Apple et utilisant une technique d'exfiltration de mots de passe qui exploite un composant légitime du système d'exploitation : le module PAM (Pluggable Authentication Module) de macOS. La distribution initiale passe par un site web frauduleux imitant le gestionnaire de presse-papier populaire Maccy, un outil open source gratuit disponible sur GitHub avec une base d'utilisateurs significative parmi les développeurs et les professionnels techniques. PamStealer représente un tournant dans l'écosystème des malwares macOS : il cible des professionnels via des outils qu'ils utilisent quotidiennement, en exploitant la confiance que les utilisateurs accordent à un logiciel connu.
La pertinence de PamStealer pour les équipes de sécurité dépasse la question technique de son fonctionnement. Elle tient à ce qu'il révèle sur l'état de la menace macOS en 2026 : les infostealers ne se limitent plus aux environnements Windows. Ils ciblent de plus en plus les machines Apple qui opèrent souvent en dehors du périmètre de surveillance classique des entreprises, avec des politiques de sécurité endpoint moins strictes et une perception erronée que macOS offre une immunité naturelle contre ce type de menace. Les identifiants extraits par PamStealer finissent sur les marchés de logs criminels exactement comme leurs équivalents Windows, prêts à être utilisés pour des attaques sur des comptes professionnels.
Maccy est un gestionnaire de presse-papier open source légitime distribué via GitHub et disponible gratuitement. Son site officiel, maccy.app, est simple et fonctionnel. Les attaquants derrière PamStealer ont créé un site imitant ce design minimaliste pour distribuer une version trojanisée de l'application. Le site frauduleux utilise un nom de domaine plausible et un contenu copié depuis le site légitime, suffisamment proche pour tromper un utilisateur qui n'examine pas l'URL avec attention.
Le vecteur de distribution change l'équation de risque par rapport aux malwares macOS distribués via des méthodes plus agressives comme le phishing ou les pièces jointes malveillantes. Un développeur qui cherche un gestionnaire de presse-papier pour macOS, qui tombe sur le faux site via un résultat de recherche ou un lien partagé dans une communauté technique, télécharge ce qu'il pense être un outil légitime. Il n'y a pas d'attachement d'email suspect, pas de lien dans un message non sollicité. L'utilisateur effectue une recherche active d'un logiciel spécifique, trouve ce qui semble être la bonne source, et télécharge directement.
Cette technique de distribution, connue sous le nom de "malvertising" ou de faux sites de logiciels, n'est pas nouvelle, mais son application aux outils macOS populaires parmi les professionnels techniques est particulièrement efficace. Les développeurs et les équipes IT qui utilisent Maccy sont précisément les personnes dont les identifiants ont le plus de valeur : accès aux repositories de code, aux plateformes cloud, aux outils DevOps, aux environnements de développement et de production.
Une fois que l'utilisateur a installé l'application frauduleuse et lui a accordé les permissions demandées lors de l'installation (ce qui semble normal pour une application légitime), PamStealer déploie sa technique principale de capture de mot de passe. Plutôt que de tenter d'extraire les mots de passe stockés dans le trousseau macOS directement, ce qui nécessite de contourner des protections système robustes, PamStealer déclenche une fenêtre de dialogue d'authentification système en utilisant le module PAM de macOS.
Le module PAM (Pluggable Authentication Module) est la couche d'authentification standard d'Unix et macOS. Il est utilisé par le système pour vérifier l'identité d'un utilisateur avant d'accorder des privilèges élevés, d'autoriser des modifications sensibles, ou de déverrouiller des données protégées. Quand une application légitime a besoin que l'utilisateur confirme son identité, elle appelle PAM, qui affiche la fenêtre familière demandant le mot de passe de session macOS.
PamStealer exploite ce mécanisme en déclenchant une demande d'authentification PAM qui semble provenir d'une opération système normale. Pour l'utilisateur, la fenêtre de mot de passe qui apparaît ressemble à une demande d'autorisation standard, du type qu'il voit régulièrement quand macOS demande de confirmer une action privilégiée. Quand il saisit son mot de passe de connexion, PAM le valide correctement, confirmant que le mot de passe est correct, et PamStealer intercepte et exfiltre ce mot de passe validé.
L'élégance malveillante de cette technique est que l'utilisateur saisit son vrai mot de passe de session, qui est validé par macOS lui-même comme étant correct, dans une interface qui ressemble en tout point à une demande d'authentification légitime. Il n'y a pas d'imitation maladroite ou de dialogue d'apparence douteuse. C'est la vraie interface PAM macOS, déclenchée par un processus malveillant.
Le mot de passe de session macOS est la valeur la plus immédiatement utile que PamStealer capture, mais ce n'est pas la seule. Une fois ce mot de passe obtenu et validé, il sert de clé pour accéder au trousseau macOS (Keychain), qui stocke les mots de passe de tous les sites web et services pour lesquels l'utilisateur a activé la sauvegarde automatique dans Safari ou d'autres applications.
PamStealer cible également les cookies de session des navigateurs, en particulier pour les services professionnels comme Google Workspace, Microsoft 365, les plateformes de développement comme GitHub et GitLab, et les services cloud. Comme pour les infostealers Windows, ces cookies permettent à l'acheteur du log de reprendre des sessions déjà authentifiées sans connaître le mot de passe ni déclencher de MFA. Un cookie de session GitHub valide donne accès aux repositories et aux pipelines CI/CD d'un développeur infecté.
L'exfiltration comprend également des informations système, des données de navigation, et dans certaines variantes documentées, une recherche ciblée de fichiers correspondant à des patterns associés aux clés API, aux fichiers de configuration avec credentials, aux portefeuilles de cryptomonnaie, et aux documents contenant des informations financières. Pour un développeur, cela peut signifier des clés AWS ou GCP stockées dans des fichiers de configuration locaux, des tokens d'accès dans des fichiers .env, ou des clés SSH.
Pendant plusieurs années, les marchés de logs d'infostealers ont été dominés par des logs Windows. Les infostealers ciblant macOS existaient mais étaient moins nombreux et leurs logs moins demandés, en partie parce que les professionnels utilisant macOS représentaient un segment de marché plus petit, et en partie parce que les entreprises avaient moins souvent des flottes Mac importantes à risque.
Cette dynamique a changé. Les entreprises tech, les agences, les équipes de développement et les studios créatifs ont des flottes macOS significatives. Les équipes de direction et les profils à haute valeur utilisent souvent des Mac. Et les infostealers macOS produisent des logs qui contiennent des identifiants pour exactement les services que ces profils utilisent : GitHub, les plateformes cloud AWS/GCP/Azure, les outils Atlassian, les plateformes SaaS professionnelles.
Les logs macOS se vendent maintenant sur les mêmes marchés que les logs Windows, avec une prime liée au profil technique moyen des victimes. Un développeur macOS infecté produit un log qui a plus de valeur qu'un utilisateur Windows grand public, parce que les identifiants qu'il contient donnent accès à des ressources plus sensibles. Pour les équipes de sécurité, la surveillance dark web qui couvre les logs macOS en plus des logs Windows est désormais nécessaire pour avoir une vision complète de l'exposition de l'organisation.
La principale protection contre PamStealer et les malwares macOS similaires est la vérification systématique de la source avant toute installation de logiciel. Pour Maccy spécifiquement, la source légitime est maccy.app et le repository GitHub officiel sous p0deje/Maccy. Tout autre site distribuant une version de Maccy doit être traité avec suspicion. Cette règle s'applique à tout logiciel populaire open source : vérifier l'URL exacte du site officiel et du repository, et ne jamais installer depuis un résultat de recherche non vérifié.
Au niveau endpoint, Gatekeeper et XProtect de macOS offrent une protection de base contre les applications non signées, mais les attaquants qui investissent dans une infrastructure de distribution soignée acquièrent parfois des certificats de développeur Apple valides pour signer leurs applications frauduleuses, ce qui contourne ces contrôles. Les outils de sécurité endpoint macOS qui surveillent les comportements anormaux, comme une application non système qui déclenche une authentification PAM suivie d'une connexion réseau sortante, peuvent détecter ce pattern.
Pour la détection post-infection, la même approche de surveillance dark web qui s'applique aux logs Windows s'applique aux logs macOS. Si un employé dont la machine macOS a été infectée produit un log qui est mis en vente sur un marché criminel, une surveillance qui couvre ces marchés peut alerter avant que l'acheteur ait utilisé les identifiants. La fenêtre de détection entre la mise en vente et l'utilisation active reste quelques jours dans la plupart des cas documentés, ce qui laisse le temps de révoquer les sessions et de changer les identifiants compromis. Comprendre son exposition aux credentials nécessite de couvrir l'ensemble des plateformes, macOS inclus.
PamStealer n'est pas un cas isolé mais un représentant d'une catégorie en expansion rapide. En 2026, les chercheurs en sécurité ont documenté plusieurs nouvelles familles d'infostealers macOS avec des capacités similaires ou complémentaires. Atomic Stealer (AMOS), RustBucket, Cuckoo Stealer, et leurs variants successeurs ciblent tous des aspects différents de l'environnement macOS, créant un écosystème d'outils malveillants macOS comparable à ce qui existe depuis longtemps sur Windows.
Ce que ces familles partagent est une compréhension précise des spécificités de macOS qui les distinguent de Windows : le trousseau de clés macOS (Keychain) comme stockage centralisé de secrets, le module PAM comme vecteur d'extraction de mot de passe de session, iCloud Keychain comme source d'identifiants synchronisés entre appareils Apple, et les APIs de navigateur comme vecteur d'extraction de cookies de session. Chaque famille a ses propres techniques de delivery et ses propres mécanismes d'exfiltration, mais toutes ciblent les mêmes catégories de données de haute valeur.
La croissance de cet écosystème est directement liée à la croissance de la base d'utilisateurs macOS dans les environnements professionnels. Les études de marché indiquent que les entreprises tech ont des flottes macOS qui représentent entre 30% et 60% de leurs endpoints. Les entreprises de conseil, les agences de communication, les cabinets d'avocats, et les organisations financières ont des proportions similaires. Ces environnements concentrent des utilisateurs dont les accès à des systèmes sensibles ont une valeur élevée pour les attaquants, et leurs appareils sont souvent moins bien couverts par les solutions de sécurité endpoint que les machines Windows dans les mêmes organisations.
Quand une organisation détecte qu'un employé a probablement été infecté par un infostealer macOS, soit par une alerte de surveillance dark web, soit par une détection endpoint, soit par le signalement de l'employé lui-même, les premières actions de réponse doivent être immédiates et couvrir l'ensemble des services auxquels l'employé avait accès depuis sa machine macOS.
La révocation des sessions doit couvrir tous les services Google Workspace ou Microsoft 365 de l'employé, tous les accès GitHub et GitLab, toutes les consoles cloud AWS, GCP ou Azure, tous les outils de productivité et de collaboration SaaS, et toute autre plateforme pour laquelle un cookie de session aurait pu être extrait. Cette révocation doit précéder ou accompagner le changement de mot de passe, pas suivre : si les cookies de session sont encore valides au moment du changement de mot de passe, un attaquant qui les a achetés peut encore accéder aux comptes malgré le changement.
La vérification du trousseau macOS est également nécessaire : si le mot de passe de session a été capturé et utilisé pour déverrouiller le trousseau, l'ensemble des identifiants qui y sont stockés doit être considéré comme compromis. Cela peut inclure des mots de passe de services internes, des clés privées SSH stockées dans le trousseau, et des tokens d'API enregistrés par des applications professionnelles. La liste des éléments stockés dans le trousseau d'un employé se trouve dans l'application Trousseau d'accès macOS, et elle doit être revue systématiquement dans le cadre de la réponse à une infection macOS. La gestion de l'exposition aux credentials sur macOS nécessite la même rigueur que sur Windows, et souvent davantage de coordination car les outils de gestion centralisée des identifiants macOS sont moins standardisés en entreprise.
PamStealer utilise un faux site de téléchargement comme vecteur principal, mais l'écosystème des malwares macOS en 2026 exploite plusieurs vecteurs de distribution complémentaires que les équipes de sécurité doivent connaître. Les résultats de recherche Google sponsorisés ont été utilisés pour rediriger des utilisateurs cherchant des logiciels macOS populaires vers des sites frauduleux, en achetant des mots-clés correspondant aux noms d'applications légitimes. Les référentiels de paquets non officiels et les forums de partage de logiciels hébergent parfois des versions trojanisées de logiciels macOS populaires, présentées comme des alternatives gratuites ou des versions débloquées.
La protection la plus efficace contre ces vecteurs reste la vérification systématique de la source avant toute installation. Pour les entreprises qui gèrent des flottes macOS, la restriction des installations aux applications signées par des développeurs approuvés via la politique de Gatekeeper et la liste d'applications autorisées constitue un contrôle robuste. Pour les utilisateurs dont les machines ne sont pas gérées centralement, la sensibilisation aux techniques de distribution frauduleuses, incluant des exemples concrets comme PamStealer et ses vecteurs documentés, est la mesure de protection la plus accessible.
Malgré la croissance des flottes macOS dans les entreprises technologiques et les organisations professionnelles, les programmes de sécurité endpoint restent asymétriques dans leur couverture. Les maturités moyennes des politiques de gestion des appareils mobiles (MDM) pour macOS sont significativement inférieures à celles pour Windows dans la grande majorité des entreprises qui ne sont pas nativement Apple. Les équipes IT qui ont passé des années à maîtriser les outils de gestion Windows, le déploiement de Group Policy, et l'intégration Active Directory abordent souvent macOS avec des politiques moins strictes, moins de contrôles automatiques, et moins de visibilité sur ce qui est installé et exécuté sur ces machines.
Ce déséquilibre crée une asymétrie d'attractivité pour les auteurs de malwares macOS : les machines Apple dans les entreprises sont souvent moins surveillées que leurs équivalents Windows, hébergent des utilisateurs avec des accès sensibles (les profils tech, les équipes de direction), et ont des politiques de contrôle d'application moins strictes. PamStealer et ses homologues exploitent précisément cette asymétrie en ciblant les applications que ces utilisateurs téléchargent et installent régulièrement en dehors des processus IT formels.
La réponse structurelle à ce problème est l'intégration des appareils macOS dans les mêmes programmes de gestion et de surveillance que les appareils Windows. Cela inclut le déploiement d'un MDM (comme Jamf ou Microsoft Intune for Mac) qui applique des politiques de sécurité, le déploiement d'un agent EDR qui surveille l'activité des processus et des connexions réseau, et la configuration d'une politique de contrôle d'application qui restreint les installations aux sources approuvées. Ces mesures ne sont pas différentes de ce qui est standard pour Windows ; elles doivent simplement être étendues à l'ensemble de la flotte, quelle que soit la plateforme. La surveillance dark web pour les logs macOS complète cette posture en capturant les compromissions que la sécurité endpoint manque.
Un programme de sécurité macOS efficace inclut une composante de sensibilisation ciblée sur les vecteurs spécifiques à la plateforme. Les utilisateurs macOS qui savent que les faux sites de téléchargement de logiciels populaires existent et savent comment vérifier l'authenticité d'un site avant de télécharger sont beaucoup moins susceptibles de tomber dans le piège de PamStealer et de ses variantes. Cette sensibilisation ne nécessite pas de formations longues ou de programmes exhaustifs : quelques exemples concrets, distribués via les canaux internes habituels, avec des instructions claires sur comment vérifier les sources de téléchargement, constituent une protection efficace contre les vecteurs de distribution actuellement utilisés.
Les équipes de sécurité qui maintiennent un canal clair pour que les employés signalent rapidement les comportements suspects de leurs machines macOS, comme une fenêtre de mot de passe inattendue ou un comportement anormal d'une application récemment installée, ont également un avantage dans la détection précoce des infections. PamStealer déclenche une demande d'authentification PAM qui peut sembler inhabituelle à un utilisateur averti : une fenêtre de mot de passe demandée par une application qui ne devrait pas en avoir besoin, ou au mauvais moment dans le flux d'utilisation normal. Ce type de signal, rapporté rapidement, peut permettre d'isoler et d'inspecter la machine infectée avant que le log ne soit exfiltré et mis en vente.
Les menaces décrites dans cet article correspondent directement aux catégories d'exposition que Defendis surveille en continu : logs d'infostealers contenant des identifiants d'employés sur le dark web, domaines frauduleux imitant votre marque déposés avant que votre équipe ne les détecte, assets externes exposés invisibles depuis l'intérieur, et données issues de fuites alimentant les attaques opportunistes.
Defendis analyse les forums criminels, les marchés du dark web et les bases de données de fuites pour identifier les données liées à votre organisation avant qu'elles soient exploitées. La surveillance est continue, pas ponctuelle, et couvre les sources en langue française que les plateformes globales manquent systématiquement.
Réservez une démo pour voir Defendis en action.
