Des chercheurs en sécurité ont découvert une campagne de piratage qui exploite les artefacts de Claude, l'IA d'Anthropic, pour piéger les utilisateurs Mac. Les attaquants passent par des publicités sponsorisées sur Google et redirigent vers de faux guides hébergés directement sur claude.ai. Le malware MacSync récupère ensuite les mots de passe, les données du navigateur et les portefeuilles crypto.
Des faux guides hébergés sur claude.ai
C'est Moonlock Lab, la division sécurité de MacPaw, et AdGuard qui ont repéré cette campagne. Des publicités sponsorisées apparaissent dans les résultats Google quand vous cherchez des choses assez courantes sur Mac, comme "online DNS resolver", "macOS CLI disk space analyzer" ou encore "HomeBrew". Sauf qu'au lieu de tomber sur un vrai guide, vous atterrissez sur un artefact Claude, c'est-à-dire un contenu généré par l'IA d'Anthropic et rendu public, hébergé directement sur le domaine claude.ai. Le faux guide vous demande de copier-coller une commande dans le Terminal. Un seul de ces artefacts a déjà été consulté plus de 15 000 fois.
Deux variantes, même résultat
Les chercheurs ont repéré deux méthodes. La première passe par un résultat sponsorisé Google pour la requête "Online DNS resolver", qui renvoie vers un artefact intitulé "macOS Secure Command Execution". La commande est encodée en base64 et déclenche le téléchargement du malware. La deuxième variante cible les recherches "macOS CLI disk space analyzer" et utilise un faux article sur Medium, qui se fait passer pour le support officiel d'Apple. Dans les deux cas, MacSync finit par s'installer sur votre Mac.
Ce que MacSync récupère sur votre machine
Une fois la commande lancée, un script AppleScript se charge du sale boulot. MacSync s'attaque au trousseau macOS, aux données de navigation, et aux portefeuilles crypto : Ledger Live, Trezor Suite, Exodus, MetaMask, Coinbase Wallet, Phantom. Les gestionnaires de mots de passe comme 1Password, Bitwarden et LastPass sont aussi ciblés. Les données volées sont compressées et envoyées vers un serveur distant, avec huit tentatives d'exfiltration avant que le malware n'efface ses propres traces. Ce n'est d'ailleurs pas la première fois que des outils d'IA sont détournés comme ça : fin 2025, ChatGPT et Grok avaient déjà servi de vecteur pour distribuer le malware AMOS.
On en dit quoi ?
C'est contrariant de voir une plateforme comme claude.ai servir de relais pour des malwares, d'autant que le domaine inspire confiance aux utilisateurs. Côté Google, laisser passer des pubs sponsorisées qui redirigent vers des pages piégées, c'est aussi un problème, et c'est la limite de la modération automatisée des annonces. Si vous utilisez un Mac, la règle d'or ne change pas : ne jamais copier-coller une commande Terminal trouvée sur Internet sans comprendre ce qu'elle fait.
Besoin d'aide pour choisir votre logiciel de sécurité ?
Personne n'est à l'abri des virus et du phishing. Protégez vos fichiers et vos données personnelles, utilisez un logiciel de sécurité!
Consultez nos dossiers sur le sujet des antivirus pour le Mac et celui pour l'iPhone. Ces articles sont constamment mis à jour et relayent les dernières promotions.
