Commande collée dans le Terminal ? Vérifiez votre Mac maintenant.

1Ce que fait la ligne collée

Depuis fin 2025, de fausses pages d’outils d’IA et des annonces de recherche du type « nettoyez votre Mac » demandent aux utilisateurs de Mac d’ouvrir le Terminal et d’y coller une ligne. Sophos a suivi trois campagnes, entre novembre 2025 et février 2026, qui installaient ainsi le voleur de données MacSync : la ligne télécharge un script, demande le mot de passe de votre Mac, puis récupère les données du trousseau, les identifiants enregistrés et les phrases de récupération des portefeuilles crypto (The Hacker News, 16 mars 2026). Microsoft signale les mêmes appâts pour les voleurs de données Atomic (AMOS), MacSync et DigitStealer, souvent atteints via des annonces de recherche (Security Affairs sur le rapport de Microsoft, 4 février 2026).

Pourquoi rien ne vous a prévenu : macOS demande confirmation avant la première ouverture d’un logiciel téléchargé sur Internet (Sécurité des plateformes Apple), et il sait qu’un fichier vient d’Internet grâce à un attribut de quarantaine posé par les navigateurs. Les fichiers récupérés avec curl dans le Terminal peuvent ne pas recevoir cet attribut (MITRE ATT&CK T1553.001), et un script envoyé directement à bash n’est jamais ouvert comme une app : l’alerte n’apparaît donc jamais.

Ces lignes ressemblent généralement à l’une de celles-ci, avec une adresse web au milieu :

• curl -fsSL https://… | bash
• bash -c "$(curl -fsSL https://…)"
• echo … | base64 -d | sh

2Vérification 1 : éléments d’ouverture et apps en arrière-plan

Ouvrez Réglages Système → Général → Ouverture et extensions (sur macOS 14 et versions antérieures : Ouverture). Regardez Ouvrir à l’ouverture de session et Autoriser en arrière-plan.

Tout ce que vous ne reconnaissez pas mérite un examen, surtout un élément au nom étrange, sans développeur indiqué, ou apparu le jour où vous avez collé la commande. Désactiver un élément en arrière-plan l’empêche de redémarrer ; cela ne le supprime pas.

3Vérification 2 : agents et daemons de lancement

Les programmes qui démarrent seuls laissent un petit fichier dans l’un de trois dossiers. Cette commande les liste, les plus récents d’abord :

ls -lt ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

La plupart des noms ressemblent à com.company.app.plist. Cherchez les fichiers datés autour du jour où vous avez collé la commande, les noms qui imitent Apple (com.apple…) dans votre propre dossier Bibliothèque, ou les noms faits de lettres au hasard. Pour voir quel programme un fichier lance, remplacez NAME par son nom :

plutil -p ~/Library/LaunchAgents/NAME.plist

4Vérification 3 : les fichiers de démarrage de votre shell

Votre shell exécute ces fichiers à chaque ouverture du Terminal, un voleur de données peut donc y cacher une ligne. Cette commande montre quand chacun a été modifié pour la dernière fois :

ls -lT ~/.zshrc ~/.zprofile ~/.bash_profile ~/.bashrc ~/.profile 2>/dev/null

Si l’un d’eux a changé un jour où vous ne vous souvenez pas l’avoir modifié, regardez ses dernières lignes :

tail -n 20 ~/.zshrc

Des lignes que vous n’avez pas écrites et qui mentionnent curl, base64, osascript ou une adresse web : vous avez trouvé quelque chose.

5Vérification 4 : ce que vous avez collé

Le Terminal garde les lignes que vous avez exécutées. Cette commande montre les 30 dernières qui ont téléchargé ou décodé quelque chose :

grep -E 'curl|wget|base64|osascript' ~/.zsh_history | tail -n 30

6Vérification 5 : les apps que macOS refuserait

Gatekeeper, dans macOS, peut vous dire quelles apps de votre dossier Applications il refuserait (non signées par un développeur identifié, ou non vérifiées par Apple) :

for a in /Applications/*.app; do spctl -a "$a" 2>/dev/null || echo "Not accepted: $a"; done

Certaines apps anciennes ou open source apparaissent ici et ne posent aucun problème. Ce qui compte, c’est une app dont vous ne vous rappelez pas l’installation. Faites de même à l’œil pour votre dossier Téléchargements, les plus récents d’abord :

ls -lt ~/Downloads | head -n 20

7Vérification 6 : accès à distance et profils

Ouvrez Réglages Système → Général → Partage. Partage d’écran, Session à distance, Gestion à distance et Partage de fichiers doivent être désactivés, sauf si vous les utilisez vous-même.

Ouvrez ensuite Réglages Système → Général → Gestion des appareils (sur les anciennes versions de macOS : Confidentialité et sécurité → Profils). Un profil que vous n’avez pas installé peut faire passer votre navigation par le serveur de quelqu’un d’autre ou faire confiance à ses certificats. N’en supprimez un que si vous êtes sûr qu’il ne vient pas de votre école ou de votre employeur.

8Vérification 7 : qui communique avec Internet

Cette commande compte les connexions Internet ouvertes par programme :

lsof -nP -iTCP -sTCP:ESTABLISHED | awk 'NR>1 {print $1}' | sort | uniq -c | sort -rn

Votre navigateur, Mail, Messages et iCloud sont normaux. Un nom que vous ne connaissez pas, ou un exécuteur de scripts comme osascript, python3 ou curl qui garde des connexions ouvertes, mérite un examen. Pour voir les programmes qui attendent des connexions d’autres ordinateurs :

lsof -nP -iTCP -sTCP:LISTEN

9Si vous trouvez quelque chose

1. Déconnectez-vous du Wi-Fi et débranchez tout câble réseau.
2. Depuis un autre appareil, changez d’abord les mots de passe de votre compte Apple, de votre messagerie et de votre banque, déconnectez toutes les autres sessions et activez l’authentification à deux facteurs.
3. Considérez comme perdu tout portefeuille crypto dont la phrase de récupération ou les clés se trouvaient sur ce Mac. Créez un nouveau portefeuille sur un appareil sain et transférez-y les fonds. Un voleur de données a peut-être déjà la phrase, et un transfert ne peut pas être annulé. Voir la sécurité des portefeuilles crypto.
4. Supprimez ce que vous avez trouvé : quittez-le dans le Moniteur d’activité, supprimez le fichier de l’agent de lancement et l’app, puis redémarrez. Si vous n’êtes pas sûr d’avoir tout trouvé, sauvegardez vos documents (pas vos apps) et effacez le Mac : Réglages Système → Général → Transférer ou réinitialiser → Effacer contenu et réglages.
5. Vous avez vu une alerte indiquant qu’un logiciel malveillant a été bloqué et placé dans la Corbeille ? C’est XProtect, la protection intégrée du Mac, qui a supprimé un fichier qu’il a reconnu. Tant mieux, mais vérifiez d’où venait le fichier : le même site en a peut-être envoyé d’autres. Voir ce que fait la protection intégrée du Mac.

10Avant de coller à nouveau quoi que ce soit dans le Terminal

• Tapez vous-même l’adresse du site ; ne suivez ni une publicité ni un lien reçu dans une discussion.
• Lisez la ligne avant de la coller. | sh, | bash, base64 et osascript signifient qu’elle exécute quelque chose.
• Aucune vraie solution pour un site web, un captcha ou un téléchargement « cassé » ne passe par le Terminal.
• Si une ligne demande votre mot de passe, arrêtez-vous et demandez-vous à quoi il va servir.

11Questions

Mon Mac a été piraté. Que faire en premier ?

Déconnectez-le d’Internet, puis, depuis un autre appareil, changez les mots de passe de votre compte Apple, de votre messagerie et de votre banque et déconnectez toutes les autres sessions. Transférez les cryptos dont la phrase de récupération était sur le Mac vers un nouveau portefeuille créé sur un appareil sain. Faites ensuite les vérifications de cette page ou effacez le Mac.

Comment savoir si mon Mac est piraté en ce moment ?

Cherchez des éléments d’ouverture ou des agents de lancement que vous ne reconnaissez pas, des fichiers shell que vous n’avez pas modifiés, des apps que macOS refuserait et des programmes inconnus connectés à Internet. Des demandes de mot de passe que vous n’avez pas déclenchées et des réglages de navigateur qui ont changé tout seuls sont aussi des signes.

macOS indique qu’un logiciel malveillant a été bloqué et placé dans la Corbeille. Suis-je en sécurité ?

Cela signifie que XProtect a reconnu un fichier malveillant connu et l’a supprimé avant qu’il ne s’exécute. Vérifiez d’où venait le fichier et faites les vérifications ci-dessus : le même site ou le même e-mail a peut-être livré quelque chose que XProtect n’a pas reconnu.

Est-ce sûr de coller une commande dans le Terminal ?

Seulement si vous avez tapé vous-même l’adresse du site et que vous savez ce que fait la ligne. Ne collez jamais une ligne venue d’une publicité, d’une fenêtre surgissante, d’une page « vérifiez que vous êtes humain » ou d’une discussion. Si elle envoie un téléchargement à sh ou bash, décode du base64 ou demande votre mot de passe, arrêtez.

Dois-je effacer mon Mac ?

Si vous ne pouvez pas identifier et supprimer ce que vous avez trouvé, ou si le Mac contenait des phrases de récupération ou des clés de grande valeur, l’effacer est le choix sûr. Sauvegardez vos documents, pas vos apps, et reconnectez-vous à tout en repartant de zéro.