Des applications pirat\u00e9es ciblant les utilisateurs d’Apple macOS ont \u00e9t\u00e9 observ\u00e9es contenant une porte d\u00e9rob\u00e9e capable d’accorder aux attaquants le contr\u00f4le \u00e0 distance des machines infect\u00e9es.<\/p>\n
“Ces applications sont h\u00e9berg\u00e9es sur des sites Web de piratage chinois afin de faire des victimes”, affirment Ferdous Saljooki et Jaron Bradley, chercheurs de Jamf Threat Labs. dit<\/a>.<\/p>\n “Une fois d\u00e9clench\u00e9, le malware t\u00e9l\u00e9chargera et ex\u00e9cutera plusieurs charges utiles en arri\u00e8re-plan afin de compromettre secr\u00e8tement la machine de la victime.”<\/p>\n Les fichiers d’images disque d\u00e9rob\u00e9s (DMG), qui ont \u00e9t\u00e9 modifi\u00e9s pour \u00e9tablir des communications avec une infrastructure contr\u00f4l\u00e9e par des acteurs, incluent des logiciels l\u00e9gitimes tels que Navicat Premium, UltraEdit, FinalShell, SecureCRT et Microsoft Remote Desktop.<\/p>\n Les applications non sign\u00e9es, en plus d’\u00eatre h\u00e9berg\u00e9es sur un site chinois nomm\u00e9 macyy[.]cn, incorporez un composant compte-gouttes appel\u00e9 “dylib” qui est ex\u00e9cut\u00e9 \u00e0 chaque ouverture de l’application.<\/p>\n Le compte-gouttes agit ensuite comme un canal pour r\u00e9cup\u00e9rer une porte d\u00e9rob\u00e9e (\u00ab bd.log \u00bb) ainsi qu’un t\u00e9l\u00e9chargeur (\u00ab fl01.log \u00bb) \u00e0 partir d’un serveur distant, qui est utilis\u00e9 pour configurer la persistance et r\u00e9cup\u00e9rer des charges utiles suppl\u00e9mentaires sur la machine compromise. .<\/p>\n La porte d\u00e9rob\u00e9e \u2013 \u00e9crite dans le chemin “\/tmp\/.test” \u2013 est compl\u00e8te et construite sur une bo\u00eete \u00e0 outils de post-exploitation open source appel\u00e9e Kh\u00e9pri<\/a>. Le fait qu’il se trouve dans le r\u00e9pertoire “\/tmp” signifie qu’il sera supprim\u00e9 \u00e0 l’arr\u00eat du syst\u00e8me.<\/p>\n Cela dit, il sera recr\u00e9\u00e9 au m\u00eame endroit la prochaine fois que l’application pirat\u00e9e sera charg\u00e9e et que le dropper sera ex\u00e9cut\u00e9.<\/p>\n D’un autre c\u00f4t\u00e9, le t\u00e9l\u00e9chargeur est \u00e9crit dans le chemin cach\u00e9 “\/Users\/Shared\/.fseventsd”, apr\u00e8s quoi il cr\u00e9e un LaunchAgent pour assurer la persistance et envoie une requ\u00eate HTTP GET \u00e0 un serveur contr\u00f4l\u00e9 par un acteur.<\/p>\n Bien que le serveur ne soit plus accessible, le t\u00e9l\u00e9chargeur est con\u00e7u pour \u00e9crire la r\u00e9ponse HTTP dans un nouveau fichier situ\u00e9 dans \/tmp\/.fseventsds, puis le lancer.<\/p>\n Jamf a d\u00e9clar\u00e9 que le malware partage plusieurs similitudes avec ZuRu<\/a>qui a \u00e9t\u00e9 observ\u00e9<\/a> se propageait autrefois via des applications pirat\u00e9es sur des sites chinois.<\/p>\n “Il est possible que ce malware soit le successeur du malware ZuRu \u00e9tant donn\u00e9 ses applications cibl\u00e9es, ses commandes de chargement modifi\u00e9es et son infrastructure d’attaquant”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/01\/Les-experts-mettent-en-garde-contre-la-porte-derobee-macOS.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n