Ce qui se passe vraiment en pleine visio

BlueNoroff, la bannière nord-coréenne qui vise les professionnels de la crypto, n’exploite aucune faille. Zéro exploit, zéro CVE. Juste de l’ingénierie sociale, montée en chaîne industrielle. La recherche est signée JUMPSEC, le cluster « ClickFake Interview » est suivi par Sekoia, et The Hacker News a relayé le 24 juillet 2026.

Le déroulé. Un contact que tu as rencontré en personne t’écrit sur Telegram, sauf que son compte est détourné. Il t’envoie un lien Calendly à son nom, qui te redirige vers un domaine Zoom ou Teams typosquatté, us.zoom.06webin.us. Tu saisis ton nom, tu autorises la caméra, et le kit se met au travail dans ton dos. Il capte ton flux vidéo via mediasoup WebRTC et profile les extensions de portefeuille crypto installées dans ton navigateur. Puis un faux message, « ton micro ne marche pas », suivi d’une invite « Zoom SDK Update ». Tu cliques pour réparer ton micro, tu installes la charge.

Sur macOS, le reste se déroule sans toi. Un script shell télécharge un faux installeur Teams ou Zoom, un stealer en extrait les clés maîtresses de Chrome depuis le trousseau local de ta session macOS, là où Chrome range sa clé de chiffrement, celles qui déverrouillent tes extensions de portefeuille crypto, et exfiltre le tout via un canal Telegram baptisé « Aurora », avant de déposer d’autres charges. Côté Windows, la variante désactive Defender via un loader PowerShell et fouille les sessions Telegram dans Chrome, Edge, Brave et Firefox. Même acteur, deux chaînes.

Deux détails changent l’échelle. Les visios sont truquées par deepfake, des visages générés par IA plaqués sur du langage corporel réel, capté sur les victimes précédentes. Et le mécanisme s’auto-propage, chaque compte Telegram compromis devient l’expéditeur de confiance du suivant. Cinq versions du kit ont été repérées entre le 31 mai et le 14 juillet 2026, l’opérateur est relié au bot Telegram @alchemy_john_mac. Ce n’est pas un coup isolé, c’est une usine qui itère.

La technique porte un nom, ClickFix, et elle traîne déjà une série de victimes derrière elle.

À lire : ClickFix, le faux correctif qui te fait lancer le malware toi-même

Le troisième ClickFix sur macOS en six semaines

Fais le compte. CrashStealer en juillet, ClickLock avant lui, maintenant BlueNoroff. Trois fois en six semaines que le même schéma frappe macOS, un geste anodin qui déclenche l’installation. Le vecteur s’industrialise, et cette version vise directement ton trousseau, là où macOS range les clés de ton navigateur.

À lire : Un malware notarisé Apple passe Gatekeeper

Ce qui te protège ici, ce n’est ni l’antivirus ni la notarisation. C’est une règle de comportement, simple et absolue, ne jamais installer un binaire qu’on te propose en cours de réunion. Zoom ne te livre pas de « SDK Update » en plein appel. Teams non plus. Une mise à jour qui surgit pendant une visio n’est pas une mise à jour, c’est la charge.

Il y a un angle stack, à condition d’être honnête sur sa portée. Proton Meet est chiffré de bout en bout et tourne dans ton navigateur, sans client natif à installer. Le prétexte « installe cette mise à jour SDK » n’a donc nulle part où s’accrocher, il n’y a pas d’app à mettre à jour. Ça réduit la surface d’attaque, ça ne remplace pas la règle de comportement. Passer à Proton Meet ne te protège pas de ce phishing, l’ingénierie sociale ne dépend d’aucun outil.

À lire : Proton Meet, la visio chiffrée qui tourne dans le navigateur

Le point qui doit t’inquiéter, c’est l’expéditeur. Ce n’est pas un inconnu, c’est quelqu’un dont tu as serré la main. La confiance interpersonnelle est le vecteur, pas ta crédulité. Un compte Telegram authentique, un nom que tu reconnais, un lien de réunion, il n’en faut pas plus.

Ce que tu fais maintenant

1. Une invite d’installation qui apparaît pendant une réunion, tu refuses, sans exception. Zoom, Teams, aucune visio ne te demande d’installer un « SDK Update » ni de réparer ton micro par un téléchargement. Tu quittes l’appel, tu ne cliques rien.

2. Un lien de réunion, même envoyé par un contact réel, tu le vérifies par un autre canal avant de cliquer. Un appel voix, un message Signal, « c’est bien toi qui m’as envoyé ce Calendly ? ». Le compte Telegram d’en face est peut-être déjà détourné.

3. Regarde l’URL avant d’autoriser ta caméra. us.zoom.06webin.us n’est pas un domaine Zoom, c’est du typosquat. Le vrai Zoom, c’est zoom.us. Un sous-domaine à rallonge greffé sur un nom inconnu, tu fermes l’onglet.

4. Installe un pare-feu sortant et laisse-le parler. Little Snitch ou LuLu voient partir l’exfiltration vers Telegram, exactement le moment où le stealer vide ton trousseau. C’est ta dernière ligne quand tout le reste a été contourné.

À lire : Little Snitch vs LuLu, quel pare-feu sortant pour ton Mac

Sources

• The Hacker News, qui a relayé la recherche le 24 juillet 2026
• Recherche primaire JUMPSEC, analyse du kit de phishing BlueNoroff
• Cluster « ClickFake Interview » suivi par Sekoia