Mac qui chauffe et rame : supprimer le mineur XMRig (LaunchAgent)

Un mineur qui s’accroche à votre session

Un Mac qui chauffe, des ventilateurs qui s’emballent, une batterie qui fond sans raison : la cause peut être banale, ou être un mineur de cryptomonnaie installé à votre insu. Un utilisateur de Reddit a raconté qu’un outil d’IA, en construisant pour lui une application de lecture de température, avait trouvé XMRig en train d’avaler 1 175 % de CPU, soit environ douze cœurs. Le pic de température rapporté, 112 °C, n’a pas été vérifié.

Ce chiffre de 1 175 % n’a rien d’aberrant.

macOS additionne l’utilisation de chaque cœur, et chaque cœur saturé compte pour environ 100 %. Dans cette affaire, le mineur tournait depuis un dossier temporaire et envoyait son travail vers le pool pool.hashvault.sh. Un LaunchAgent, le mécanisme qui démarre des programmes à l’ouverture de session, le maintenait en vie grâce à un gros script encodé. Son réglage KeepAlive ordonne au système de relancer le processus dès qu’il s’arrête. L’exécutable suspect était /tmp/rigupdater.

XMRig n’a rien d’un logiciel criminel en soi. Sa documentation le décrit comme une application de minage open source et multiplateforme, avec des binaires macOS. Le problème est son détournement, le cryptojacking, qui consiste à le déployer sur la machine d’autrui pour miner du Monero à son profit.

Le mineur se relançait à chaque démarrage depuis fin août et n’a été repéré que grâce à une application conçue pour mesurer la chaleur. Les ventilateurs n’étaient pas audibles : l’utilisateur portait un casque et ouvrait souvent Blender et FL Studio, si bien qu’une charge élevée lui semblait normale.

Repérer le coupable avant de toucher à quoi que ce soit

Ouvrez Moniteur d’activité (Applications, puis Utilitaires) et triez la colonne % CPU. Un processus inconnu qui reste à plusieurs centaines de pourcents sans que vous ayez rien lancé mérite votre attention, et la commande top -o cpu dans Terminal donne la même vue. Ne vous fiez pas au seul nom : des versions tardives des mineurs documentés par Jamf coupaient le mineur dès l’ouverture d’Activity Monitor et masquaient leurs processus sous des noms proches de ceux du système.

Autre variante à connaître, LoudMiner. Ce type de mineur tourne dans une machine virtuelle Linux cachée, et l’on cherche alors qemu-system-x86_64 ou VBoxHeadless dans Moniteur d’activité.

Tuer le processus ne sert à rien.

Avec KeepAlive, macOS le ressuscite en quelques secondes, ce qui explique pourquoi tant de victimes ont l’impression de se battre contre un fantôme. Il faut d’abord neutraliser le LaunchAgent. Listez ~/Library/LaunchAgents avec ls et repérez les fichiers .plist suspects, puis jetez un œil à /Library/LaunchDaemons, à ~/Library/LaunchDaemons et à la sortie de crontab -l. Un nom que vous ne reconnaissez pas, ou une date de création qui coïncide avec le début des ralentissements, désigne le suspect.

La procédure de nettoyage, dans l’ordre

La séquence compte plus que les outils. Quatre gestes suffisent, à faire dans cet ordre :

1. décharger l’agent avec launchctl bootout gui/$(id -u) suivi du chemin complet du fichier .plist, pour que macOS cesse de le relancer ;
2. arrêter le processus, via le bouton en forme de croix de Moniteur d’activité ou avec pkill -f suivi du nom repéré ;
3. déplacer le .plist et l’exécutable (souvent dans /tmp) vers un dossier de quarantaine, sans les supprimer sur-le-champ ;
4. redémarrer, puis vérifier dans Moniteur d’activité que rien ne revient.

Cette mise en quarantaine est ce que l’assistant avait proposé à l’utilisateur dans l’affaire Reddit, avec l’arrêt de l’élément de démarrage et du mineur. L’utilisateur n’a dû supprimer qu’un seul fichier à la main, à cause d’un problème d’accès, puis il a lancé un scan Malwarebytes pour confirmer que la machine était propre. Garder les fichiers de côté permet aussi de les examiner ou de les envoyer à un analyste si le doute persiste.

Reste à fouiller les autres points d’accroche. Dans Réglages Système, section Général, puis Éléments de connexion et extensions, passez en revue les éléments et retirez avec le bouton moins ceux qui paraissent douteux. Côté cron, supprimez toute entrée que vous n’avez pas créée vous-même. Les fichiers de /Library/LaunchDaemons demandent des droits administrateur, ce qui devrait vous alerter : un mineur placé là a obtenu des privilèges élevés. Un scan avec un antimalware reconnu, comme Malwarebytes, clôt la vérification.

D’où vient l’infection, et comment éviter son retour

Le fil Reddit n’établit pas comment l’infection a commencé. L’utilisateur incrimine des plugins audio piratés, sans citer de produit précis. Des commentateurs rappellent que XProtect signale déjà XMRig et que Gatekeeper aurait dû bloquer une copie standard. Cela suggère un binaire modifié et approuvé à la main, mais ce n’est qu’une hypothèse.

Le piratage reste pourtant la piste la mieux documentée. En février 2023, Jamf Threat Labs a rapporté que des copies piratées de Final Cut Pro, Logic Pro et Photoshop, partagées sur The Pirate Bay, installaient XMRig. Selon une analyse de Gen Digital du 31 mars 2026, les versions piratées de logiciels Mac restent un canal actif pour les mineurs, et dans une seule vague de distribution, environ 108 000 tentatives de lancement ont été bloquées en 48 heures. Parmi les détections, 58 % touchaient des Mac encore pris en charge par Apple et 42 % des systèmes qui ne reçoivent plus de mises à jour.

Une faille de macOS a aussi servi, cet été, à déposer un mineur Monero.

Référencée CVE-2026-65400 (score CVSS de 9,8), elle touche le partage d’écran et permet à un attaquant présent sur le réseau de s’authentifier sans identifiants valides. Apple a publié son correctif le 6 août 2026. Le centre de cybersécurité néerlandais NCSC-NL a signalé des abus sur plusieurs systèmes dont le port 5900 était accessible depuis Internet, et dans tous ces cas l’attaquant avait obtenu les droits root et posé un mineur. Mettez macOS à jour et désactivez le partage d’écran si vous ne vous en servez pas.

Si le mineur tournait avec des droits élevés, ou s’il est arrivé avec un logiciel piraté, un nettoyage de LaunchAgent ne suffit pas toujours. Les voleurs d’informations de la famille AMOS exfiltrent mots de passe de navigateur et phrases de portefeuille crypto en quelques secondes. Changez vos mots de passe depuis un autre appareil et envisagez une réinstallation propre de macOS.

Sources : thehackernews.com | tomshardware.com