Les acteurs de la menace \u00e0 l’origine de l’op\u00e9ration de ran\u00e7ongiciel LockBit ont d\u00e9velopp\u00e9 de nouveaux artefacts capables de chiffrer des fichiers sur des appareils ex\u00e9cutant le syst\u00e8me d’exploitation macOS d’Apple.<\/p>\n
Le d\u00e9veloppement, qui a \u00e9t\u00e9 signal\u00e9<\/a> par MalwareHunterTeam au cours du week-end, semble \u00eatre la premi\u00e8re fois qu’une \u00e9quipe de ran\u00e7ongiciels de gros gibier cr\u00e9e une charge utile bas\u00e9e sur macOS.<\/p>\n \u00c9chantillons suppl\u00e9mentaires identifi\u00e9s par vx-underground<\/a> montrent que la variante macOS est disponible depuis le 11 novembre 2022 et a r\u00e9ussi \u00e0 \u00e9chapper \u00e0 la d\u00e9tection par les moteurs anti-malware jusqu’\u00e0 pr\u00e9sent.<\/p>\n LockBit est une \u00e9quipe prolifique de cybercriminalit\u00e9 li\u00e9e \u00e0 la Russie qui est active depuis fin 2019, les acteurs de la menace ayant publi\u00e9 deux mises \u00e0 jour majeures du casier en 2021 et 2022.<\/p>\n Selon les statistiques publi\u00e9 par Malwarebytes<\/a> la semaine derni\u00e8re, LockBit est devenu le deuxi\u00e8me ran\u00e7ongiciel le plus utilis\u00e9 en mars 2023 apr\u00e8s Cl0p, avec 93 attaques r\u00e9ussies.<\/p>\n Une analyse de la nouvelle version de macOS (“locker_Apple_M1_64”) r\u00e9v\u00e8le qu’il s’agit toujours d’un travail en cours, reposant sur une signature invalide pour signer l’ex\u00e9cutable. Cela signifie \u00e9galement que les protections Gatekeeper d’Apple l’emp\u00eacheront de fonctionner m\u00eame s’il est t\u00e9l\u00e9charg\u00e9 et lanc\u00e9 sur un appareil.<\/p>\n La charge utile, selon le chercheur en s\u00e9curit\u00e9 Patrick Wardle, est contenue dans des fichiers tels que autorun.inf et ntuser.dat.log, ce qui sugg\u00e8re que l’\u00e9chantillon de ran\u00e7ongiciel a \u00e9t\u00e9 initialement con\u00e7u pour cibler Windows.<\/p>\n “Bien qu’il puisse effectivement fonctionner sur Apple Silicon, c’est essentiellement l’\u00e9tendue de son impact”, Wardle a dit<\/a>. “Ainsi, les utilisateurs de macOS n’ont rien \u00e0 craindre… pour l’instant !”<\/p>\n Wardle a \u00e9galement soulign\u00e9 les garanties suppl\u00e9mentaires mises en \u0153uvre par Apple, telles que la protection de l’int\u00e9grit\u00e9 du syst\u00e8me (siroter<\/a>) et Transparence, consentement et contr\u00f4le (TCC<\/a>) qui emp\u00eachent l’ex\u00e9cution de code non autoris\u00e9 et besoin d’applications<\/a> demander aux utilisateurs l’autorisation d’acc\u00e9der aux fichiers et donn\u00e9es prot\u00e9g\u00e9s.<\/p>\n “Cela signifie que sans un exploit ou une approbation explicite de l’utilisateur, les fichiers des utilisateurs resteront prot\u00e9g\u00e9s”, a expliqu\u00e9 Wardle. “Encore une couche suppl\u00e9mentaire ou une d\u00e9tection\/protection peut \u00eatre justifi\u00e9e.”<\/p>\n La version macOS de LockBit est \u00e9galement un “descendant direct” de la variante Linux et “n’impl\u00e9mente aucune fonctionnalit\u00e9 pour exfiltrer les donn\u00e9es qu’elle verrouille, ni aucune m\u00e9thode de persistance”, a d\u00e9clar\u00e9 le chercheur de SentinelOne, Phil Stokes. a dit<\/a>d\u00e9taillant l’\u00e9tat actuel de d\u00e9veloppement de la menace.<\/p>\n Zero Trust + Deception\u00a0: apprenez \u00e0 d\u00e9jouer les attaquants\u00a0!<\/p>\n D\u00e9couvrez comment Deception peut d\u00e9tecter les menaces avanc\u00e9es, arr\u00eater les mouvements lat\u00e9raux et am\u00e9liorer votre strat\u00e9gie Zero Trust. Rejoignez notre webinaire perspicace !<\/p>\n