Le fait

AMOS, pour Atomic macOS Stealer, est un voleur d’informations vendu en abonnement, un malware en location que n’importe qui paie au mois pour récupérer un butin sur les Mac de ses victimes. Il rafle déjà le Trousseau, les cookies, les portefeuilles crypto, des fichiers entiers. Le fait neuf tient en deux morceaux.

Un. Anthropic l’a confirmé fin août, des voleurs de ce genre, AMOS compris dans quelques cas sur Mac, ont détourné des sessions Claude. Pas en cassant Claude, en recopiant la session déjà ouverte dans ton navigateur. Deux. Une équipe de sécurité a montré fin juillet que le jeton de Claude Code, la version ligne de commande, vit bien dans le Trousseau macOS, mais derrière une serrure trop lâche, n’importe quel programme lancé sous ton compte le lit sans mot de passe, sans Touch ID, sans rien.

Ici, ça te concerne en plein. Mac Souverain parle d’IA locale et d’IA cloud à longueur d’articles, et voilà une classe de malwares qui vise précisément l’outil qu’une partie des lecteurs fait tourner tous les jours.

Pas de panique pour autant. La menace est réelle, le mécanisme est connu, et le point faible n’est ni du côté d’Apple, ni du côté de Claude. C’est de toi qu’il s’agit.

Comment ça rentre

AMOS n’exploite aucune faille exotique. Pas de zero-day macOS, pas de trou dans Claude. Le vecteur, c’est toi.

La technique qui monte s’appelle ClickFix. Une page web ou un message affiche une fausse fenêtre « erreur système » ou « vérification humaine », avec une consigne d’apparence anodine : « colle cette ligne dans le Terminal pour réparer ».

La ligne, c’est un curl ... | bash, elle télécharge le payload et l’exécute d’un coup. Tu crois régler un bug, tu installes le voleur toi-même. Une campagne d’août usurpait justement Claude par ce biais, fausses pubs et fausse fenêtre de support à l’appui.

Les autres portes d’entrée sont du même bois. Un faux .dmg d’app « crackée », un faux installeur, un faux updater. À chaque fois, c’est de l’ingénierie sociale, pas du piratage. Le malware ne force pas ta porte, il te convainc de l’ouvrir.

Ce que ça change, et les deux faux réflexes

Commençons par le vrai enjeu. Un jeton de session volé, c’est agir sur ton compte IA sans jamais avoir besoin de ton mot de passe. Le mot de passe et la double authentification protègent la connexion, le moment où un jeton est émis. Ils ne protègent rien une fois qu’il l’est.

Voler le jeton, c’est contourner les deux d’un coup, et ce jeton reste valable un bon moment, un simple logout local n’y change rien, on y revient. Ajoute l’historique de tes conversations, en clair sur le disque, une carte de ton environnement, ce sur quoi tu travailles, ce que tu automatises, ce à quoi tu accèdes.

Maintenant, les deux réflexes qui rassurent et qui ne servent à rien.

Le premier, c’est le chmod. Tu passes tes fichiers sensibles en 600, tu te sens couvert. Sauf qu’AMOS tourne sous ton propre compte utilisateur. Pour le système, ce programme, c’est toi. Il est propriétaire de ces fichiers, il a le droit de lecture par construction. 600, 700, 400, ça ne change rien pour lui. Les permissions POSIX arbitrent entre utilisateurs différents, pas entre toi et un programme lancé en ton nom. C’est exactement ce qui rend le jeton du Trousseau lisible d’une ligne.

Le second, c’est « j’ai un antivirus ». AMOS est vendu comme un service, mis à jour en continu, il change de forme d’une campagne à l’autre. La signature court toujours derrière. Un antivirus attrape la version d’hier, pas celle qu’on te colle aujourd’hui.

Ce qui protège vraiment tient en trois leviers, chacun avec sa part de vérité honnête.

L’hygiène du copier-coller. Il n’y a aucune raison légitime de coller dans ton Terminal une commande qu’une page web ou un message te pousse à exécuter. Un logiciel sérieux ne te fait jamais « réparer » ou « vérifier » quoi que ce soit en te dictant une ligne à coller.

Celle qui surgit et te presse, tu ne la colles pas, jamais. Le seul copier-coller qui se défend, c’est celui que tu es allé chercher toi-même, dans la doc d’un outil que tu as choisi d’installer.

Le contrôle d’exécution. Un allowlisting comme Santa en mode verrouillé n’autorise à tourner que les programmes que tu as validés. Sois lucide sur ce qu’il fait, il n’empêche pas la ligne piégée de partir, bash est déjà autorisé, ton curl ... | bash s’exécute et télécharge sa charge vérolée.

Ce qu’il bloque, c’est le maillon décisif, au moment où le binaire voleur non signé tente de s’exécuter, Santa le tue. Un stealer comme AMOS finit toujours par lâcher un vrai programme sur ton disque, c’est là qu’il meurt, même quand tu t’es fait avoir.

Sa limite, ce qui se joue entièrement en script, une fausse fenêtre de mot de passe par exemple, passe sous son radar. Et non, Gatekeeper ne joue pas ce rôle non plus, il inspecte les apps téléchargées au lancement, il ne voit jamais un script collé dans le Terminal.

La révocation, sans se raconter d’histoire. Un jeton volé, tu ne peux pas le rendre illisible pour un programme qui tourne en ton nom, et tu ne peux pas non plus l’annuler d’un claquement de doigts. Te déconnecter en ligne de commande efface la copie locale, le jeton déjà émis, lui, reste accepté par les serveurs encore quelques jours.

La seule révocation qui compte passe par ton compte, tu invalides les sessions et les instances Claude Code depuis les réglages en ligne, et tu régénères ta clé d’API si tu en as une.

C’est ce que je fais. L’exécution Santa sous allowlist, et une règle bête, aucune commande ne passe le Terminal sans que je l’aie lue. Et le jour où quelque chose cloche, je ne me contente pas d’un logout, je coupe les sessions depuis mon compte et je considère la machine comme compromise, tant qu’elle n’est pas nettoyée.

Ce que tu fais maintenant

1. Ne te fie pas au simple logout. Sur un Mac, te déconnecter de Claude Code en local efface la copie du jeton, mais le jeton déjà volé reste valable côté serveur encore quelques jours. La vraie révocation se fait depuis ton compte, tu invalides les sessions et les instances Claude Code dans les réglages en ligne, et tu régénères ta clé d’API si tu en as une. Surtout, traite la machine comme compromise, tu fais tourner tous les secrets exposés, pas juste ta session Claude, et tu ne te reconnectes pas sur un poste encore infecté.

2. Installe un contrôle d’exécution. Un allowlisting comme Santa en mode verrouillé ne bloque pas la ligne collée elle-même, mais il tue le binaire voleur au moment où il tente de s’exécuter, le garde-fou qui agit même quand tu t’es fait avoir. Sa limite, un payload qui reste en pur script lui passe sous le nez, d’où l’hygiène du copier-coller en complément. Ne compte pas sur Gatekeeper pour ça, il ne voit pas un script tubé dans un interpréteur.

3. Prends le réflexe anti-ClickFix. Une commande qu’on te pousse à coller « pour vérifier » ou « pour réparer », tu ne la colles pas. Jamais. Il n’y a rien de légitime derrière une ligne qui surgit et te presse d’ouvrir le Terminal.

Sources

• Anthropic, via BleepingComputer (30 août 2026), des infostealers, dont AMOS dans des cas Mac limités, ont détourné des sessions Claude en recopiant la session de navigateur, ce qui contourne mot de passe et 2FA.
• Silverfort (28 juillet 2026), le jeton OAuth de Claude Code stocké dans le Trousseau macOS est lisible par tout process du même utilisateur, sans mot de passe, du fait d’une ACL trop permissive.
• Huntress (17 août 2026), campagne de malvertising usurpant Claude, vecteur ClickFix (curl | bash collé dans le Terminal).
• Trend Micro (septembre 2025), profil d’AMOS, infostealer macOS en Malware-as-a-Service, diffusé via apps crackées et commandes collées dans le Terminal.