{"id":791395,"date":"2023-06-19T16:48:24","date_gmt":"2023-06-19T18:48:24","guid":{"rendered":"https:\/\/teknomers.com\/fr\/des-chercheurs-decouvrent-une-nouvelle-boite-a-outils-sophistiquee-ciblant-les-systemes-apple-macos\/"},"modified":"2023-06-19T16:48:27","modified_gmt":"2023-06-19T18:48:27","slug":"des-chercheurs-decouvrent-une-nouvelle-boite-a-outils-sophistiquee-ciblant-les-systemes-apple-macos","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/des-chercheurs-decouvrent-une-nouvelle-boite-a-outils-sophistiquee-ciblant-les-systemes-apple-macos\/","title":{"rendered":"Des chercheurs d\u00e9couvrent une nouvelle bo\u00eete \u00e0 outils sophistiqu\u00e9e ciblant les syst\u00e8mes Apple macOS"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>19 juin 2023<\/span>\ue804<\/i>Ravie Lakshmanan<\/span><\/span>S\u00e9curit\u00e9 des terminaux \/ Piratage<\/span><\/p>\n<\/div>\n

\n
<\/div>\n

Les chercheurs en cybers\u00e9curit\u00e9 ont d\u00e9couvert un ensemble d’artefacts malveillants qui, selon eux, font partie d’une bo\u00eete \u00e0 outils sophistiqu\u00e9e ciblant les syst\u00e8mes Apple macOS.<\/p>\n

“Pour l’instant, ces \u00e9chantillons sont encore largement non d\u00e9tect\u00e9s et tr\u00e8s peu d’informations sont disponibles sur l’un d’entre eux”, ont d\u00e9clar\u00e9 les chercheurs de Bitdefender Andrei Lapusneanu et Bogdan Botezatu. a dit<\/a> dans un rapport pr\u00e9liminaire publi\u00e9 vendredi.<\/p>\n

L’analyse de la firme roumaine est bas\u00e9e sur un examen de quatre \u00e9chantillons qui ont \u00e9t\u00e9 t\u00e9l\u00e9charg\u00e9s sur VirusTotal par une victime anonyme. Le premier \u00e9chantillon remonte au 18 avril 2023.<\/p>\n

Deux des trois programmes malveillants seraient des portes d\u00e9rob\u00e9es g\u00e9n\u00e9riques bas\u00e9es sur Python con\u00e7ues pour cibler les syst\u00e8mes Windows, Linux et macOS. Les charges utiles ont \u00e9t\u00e9 collectivement surnomm\u00e9es JokerEspion<\/strong>.<\/p>\n

Le premier constituant est shared.dat, qui, une fois lanc\u00e9, ex\u00e9cute une v\u00e9rification du syst\u00e8me d’exploitation (0 pour Windows, 1 pour macOS et 2 pour Linux) et \u00e9tablit un contact avec un serveur distant pour r\u00e9cup\u00e9rer des instructions suppl\u00e9mentaires \u00e0 ex\u00e9cuter.<\/p>\n

\"La<\/a><\/center><\/div>\n

Cela inclut la collecte d’informations syst\u00e8me, l’ex\u00e9cution de commandes, le t\u00e9l\u00e9chargement et l’ex\u00e9cution de fichiers sur la machine victime et l’arr\u00eat de l’ordinateur.<\/p>\n

Sur les appareils ex\u00e9cutant macOS, le contenu encod\u00e9 en Base64 r\u00e9cup\u00e9r\u00e9 du serveur est \u00e9crit dans un fichier nomm\u00e9 “\/Users\/Shared\/AppleAccount.tgz” qui est ensuite d\u00e9compress\u00e9 et lanc\u00e9 en tant qu’application “\/Users\/Shared\/TempUser\/AppleAccountAssistant.app”.<\/p>\n

La m\u00eame routine, sur les h\u00f4tes Linux, valide la distribution du syst\u00e8me d’exploitation en cochant le “\/etc\/os-release<\/a>“. Il proc\u00e8de ensuite \u00e0 l’\u00e9criture de code C dans un fichier temporaire “tmp.c”, qui est compil\u00e9 dans un fichier appel\u00e9 “\/tmp\/.ICE-unix\/git” \u00e0 l’aide de la commande cc sur Fedora et gcc sur Debian.<\/p>\n

Bitdefender a d\u00e9clar\u00e9 avoir \u00e9galement trouv\u00e9 une “porte d\u00e9rob\u00e9e plus puissante” parmi les \u00e9chantillons, un fichier intitul\u00e9 “sh.py” qui est livr\u00e9 avec un ensemble complet de fonctionnalit\u00e9s pour collecter les m\u00e9tadonn\u00e9es du syst\u00e8me, \u00e9num\u00e9rer les fichiers, supprimer des fichiers, ex\u00e9cuter des commandes et des fichiers et exfiltrer encod\u00e9 donn\u00e9es par lots.<\/p>\n

Le troisi\u00e8me composant est un binaire FAT connu sous le nom de xcc qui est \u00e9crit en Swift et cible macOS Monterey (version 12) et plus r\u00e9cent. Le fichier contient deux fichiers Mach-O pour les architectures de processeurs jumeaux, x86 Intel et ARM M1.<\/p>\n

“Son objectif principal est apparemment de v\u00e9rifier les autorisations avant d’utiliser un composant logiciel espion potentiel (probablement pour capturer l’\u00e9cran) mais n’inclut pas le composant logiciel espion lui-m\u00eame”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n

WEBINAIRE \u00c0 VENIR<\/span><\/p>\n

\ud83d\udd10 Ma\u00eetriser la s\u00e9curit\u00e9 des API\u00a0: Comprendre votre v\u00e9ritable surface d’attaque<\/p>\n

D\u00e9couvrez les vuln\u00e9rabilit\u00e9s inexploit\u00e9es de votre \u00e9cosyst\u00e8me d’API et prenez des mesures proactives pour une s\u00e9curit\u00e9 \u00e0 toute \u00e9preuve. Rejoignez notre webinaire perspicace !<\/p>\n

Rejoindre la s\u00e9ance<\/a><\/div>\n

“Cela nous porte \u00e0 croire que ces fichiers font partie d’une attaque plus complexe et que plusieurs fichiers sont absents du syst\u00e8me sur lequel nous avons enqu\u00eat\u00e9.”<\/p>\n

Les connexions aux logiciels espions de xcc proviennent d’un chemin identifi\u00e9 dans le contenu du fichier, “\/Users\/joker\/Downloads\/Spy\/XProtectCheck\/” et du fait qu’il v\u00e9rifie les autorisations telles que l’acc\u00e8s au disque, l’enregistrement d’\u00e9cran et l’accessibilit\u00e9.<\/p>\n

L’identit\u00e9 des acteurs de la menace \u00e0 l’origine de l’activit\u00e9 est encore inconnue. On ne sait pas non plus actuellement comment l’acc\u00e8s initial est obtenu et s’il implique un \u00e9l\u00e9ment d’ing\u00e9nierie sociale ou de harponnage.<\/p>\n

La divulgation intervient un peu plus de deux semaines apr\u00e8s que la soci\u00e9t\u00e9 russe de cybers\u00e9curit\u00e9 Kaspersky a r\u00e9v\u00e9l\u00e9 que les appareils iOS avaient \u00e9t\u00e9 cibl\u00e9s dans le cadre d’une campagne mobile sophistiqu\u00e9e et de longue dur\u00e9e baptis\u00e9e Op\u00e9ration Triangulation qui a d\u00e9but\u00e9 en 2019.<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n