Des chercheurs en cybers\u00e9curit\u00e9 ont r\u00e9v\u00e9l\u00e9 que le logiciel espion LightSpy r\u00e9cemment identifi\u00e9 comme ciblant les utilisateurs Apple iOS est en fait une variante macOS de l’implant jusqu’alors non document\u00e9e.<\/p>\n
Les conclusions proviennent des deux Laboratoires Chasseresse<\/a> et Tissu de menace<\/a>qui a analys\u00e9 s\u00e9par\u00e9ment les artefacts associ\u00e9s au cadre de malware multiplateforme qui poss\u00e8de probablement des capacit\u00e9s pour infecter Android, iOS, Windows, macOS, Linux et les routeurs de NETGEAR, Linksys et ASUS.<\/p>\n “Le groupe d’acteurs mena\u00e7ants a utilis\u00e9 deux exploits accessibles au public (CVE-2018-4233<\/a>, CVE-2018-4404<\/a>) pour fournir des implants pour macOS”, a d\u00e9clar\u00e9 ThreatFabric dans un rapport publi\u00e9 la semaine derni\u00e8re. “Une partie de l’exploit CVE-2018-4404 est probablement emprunt\u00e9e au framework Metasploit. La version 10 de macOS a \u00e9t\u00e9 cibl\u00e9e par ces exploits.”<\/p>\n LightSpy a \u00e9t\u00e9 signal\u00e9 publiquement pour la premi\u00e8re fois en 2020, bien que des rapports ult\u00e9rieurs de Lookout et de la soci\u00e9t\u00e9 n\u00e9erlandaise de s\u00e9curit\u00e9 mobile aient r\u00e9v\u00e9l\u00e9 des liens possibles entre le logiciel espion et un outil de surveillance Android appel\u00e9 DragonEgg.<\/p>\n Plus t\u00f4t en avril, BlackBerry a r\u00e9v\u00e9l\u00e9 ce qu’il a qualifi\u00e9 de campagne de cyberespionnage \u00ab renouvel\u00e9e \u00bb ciblant les utilisateurs d’Asie du Sud afin de fournir une version iOS de LightSpy. Mais il s\u2019av\u00e8re maintenant qu\u2019il s\u2019agit d\u2019une version macOS beaucoup plus raffin\u00e9e qui utilise un syst\u00e8me bas\u00e9 sur des plugins pour collecter divers types d\u2019informations.<\/p>\n “Il convient \u00e9galement de noter que m\u00eame si cet \u00e9chantillon a \u00e9t\u00e9 r\u00e9cemment t\u00e9l\u00e9charg\u00e9 sur VirusTotal depuis l’Inde, il ne s’agit pas d’un indicateur particuli\u00e8rement fort d’une campagne active, ni d’un ciblage dans la r\u00e9gion”, ont d\u00e9clar\u00e9 les chercheurs de Huntress, Stuart Ashenbrenner et Alden Schmidt.<\/p>\n “C’est un facteur contributif, mais sans preuves plus concr\u00e8tes ni visibilit\u00e9 sur les m\u00e9canismes de mise en \u0153uvre, il doit \u00eatre pris avec beaucoup de pr\u00e9cautions.”<\/p>\n L’analyse de ThreatFabric a r\u00e9v\u00e9l\u00e9 que la version macOS est active dans la nature depuis au moins janvier 2024, mais limit\u00e9e \u00e0 une vingtaine d’appareils, dont une majorit\u00e9 seraient des appareils de test.<\/p>\n La cha\u00eene d’attaque commence par l’exploitation de CVE-2018-4233, une faille Safari WebKit, via des pages HTML malveillantes pour d\u00e9clencher l’ex\u00e9cution de code, conduisant \u00e0 la livraison d’un binaire Mach-O 64 bits se faisant passer pour un fichier image PNG.<\/p>\n Le binaire est principalement con\u00e7u pour extraire et lancer un script shell qui, \u00e0 son tour, r\u00e9cup\u00e8re trois charges utiles suppl\u00e9mentaires : un exploit d’\u00e9l\u00e9vation de privil\u00e8ges, un utilitaire de chiffrement\/d\u00e9chiffrement et une archive ZIP.<\/p>\n Le script extrait ensuite le contenu de l’archive ZIP – update et update.plist – et leur attribue les privil\u00e8ges root. La liste des propri\u00e9t\u00e9s d’information (liste de plis<\/a>) est utilis\u00e9 pour configurer la persistance de l’autre fichier de telle sorte qu’il soit lanc\u00e9 \u00e0 chaque fois apr\u00e8s un red\u00e9marrage du syst\u00e8me.<\/p>\n Le fichier \u00ab update \u00bb (alias macircloader) fait office de chargeur pour le composant LightSpy Core, permettant \u00e0 ce dernier d’\u00e9tablir le contact avec un serveur de commande et de contr\u00f4le (C2) et de r\u00e9cup\u00e9rer des commandes ainsi que de t\u00e9l\u00e9charger des plugins.<\/p>\n La version macOS prend en charge 10 plugins diff\u00e9rents pour capturer l’audio du microphone, prendre des photos, enregistrer l’activit\u00e9 de l’\u00e9cran, r\u00e9colter et supprimer des fichiers, ex\u00e9cuter des commandes shell, r\u00e9cup\u00e9rer la liste des applications install\u00e9es et des processus en cours d’ex\u00e9cution et extraire des donn\u00e9es des navigateurs Web ( Safari et Google Chrome) et le trousseau iCloud.<\/p>\n Deux autres plugins permettent en outre de capturer des informations sur tous les autres appareils connect\u00e9s au m\u00eame r\u00e9seau que la victime, la liste des r\u00e9seaux Wi-Fi auxquels l’appareil s’est connect\u00e9 et des d\u00e9tails sur les r\u00e9seaux Wi-Fi \u00e0 proximit\u00e9.<\/p>\n “Le Core sert de r\u00e9partiteur de commandes et des plugins suppl\u00e9mentaires \u00e9tendent la fonctionnalit\u00e9”, a not\u00e9 ThreatFabric. “Le Core et les plugins pourraient \u00eatre mis \u00e0 jour dynamiquement par une commande de C2.”<\/p>\n La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 a d\u00e9clar\u00e9 avoir trouv\u00e9 une mauvaise configuration permettant d’acc\u00e9der au panneau C2, y compris \u00e0 une plateforme de contr\u00f4le \u00e0 distance, qui contient des informations sur les victimes et les donn\u00e9es associ\u00e9es.<\/p>\n \u00ab Quelle que soit la plate-forme cibl\u00e9e, le groupe d’acteurs mena\u00e7ants s’est concentr\u00e9 sur l’interception des communications des victimes, telles que les conversations de messagerie et les enregistrements vocaux \u00bb, a indiqu\u00e9 la soci\u00e9t\u00e9. “Pour macOS, un plugin sp\u00e9cialis\u00e9 a \u00e9t\u00e9 con\u00e7u pour la d\u00e9couverte du r\u00e9seau, visant \u00e0 identifier les appareils \u00e0 proximit\u00e9 de la victime.”<\/p>\n Ce d\u00e9veloppement intervient alors que les appareils Android ont \u00e9t\u00e9 cibl\u00e9s par des chevaux de Troie bancaires connus tels que BankBot et SpyNote dans le cadre d’attaques visant les utilisateurs d’applications bancaires mobiles en Ouzb\u00e9kistan<\/a> et Br\u00e9sil<\/a>ainsi que par usurper l’identit\u00e9 d’un fournisseur de services de t\u00e9l\u00e9communications mexicain<\/a> pour infecter les utilisateurs d\u2019Am\u00e9rique latine et des Cara\u00efbes.<\/p>\n Il s’agit \u00e9galement d’un rapport de Acc\u00e9dez maintenant<\/a> et le laboratoire citoyen<\/a> a d\u00e9couvert des preuves d’attaques du logiciel espion Pegasus ciblant sept militants de l’opposition et des m\u00e9dias ind\u00e9pendants parlant russe et bi\u00e9lorusse en Lettonie, en Lituanie et en Pologne.<\/p>\n “L’utilisation du logiciel espion Pegasus pour cibler des journalistes et des militants russophones et bi\u00e9lorusses remonte au moins jusqu’en 2020, avec d’autres attaques apr\u00e8s l’invasion \u00e0 grande \u00e9chelle de l’Ukraine par la Russie en f\u00e9vrier 2022”, a d\u00e9clar\u00e9 Access Now, ajoutant “un seul logiciel espion Pegasus”. L’op\u00e9rateur pourrait \u00eatre \u00e0 l’origine du ciblage d’au moins trois des victimes, voire des cinq.”<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/06\/La-variante-macOS-de-LightSpy-Spyware-trouvee-avec-des-capacites.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n