{"id":802136,"date":"2023-06-26T12:36:30","date_gmt":"2023-06-26T14:36:30","guid":{"rendered":"https:\/\/teknomers.com\/fr\/lechange-de-crypto-monnaie-japonais-est-victime-de-lattaque-de-la-porte-derobee-de-jokerspy-macos\/"},"modified":"2023-06-26T12:36:33","modified_gmt":"2023-06-26T14:36:33","slug":"lechange-de-crypto-monnaie-japonais-est-victime-de-lattaque-de-la-porte-derobee-de-jokerspy-macos","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/lechange-de-crypto-monnaie-japonais-est-victime-de-lattaque-de-la-porte-derobee-de-jokerspy-macos\/","title":{"rendered":"L’\u00e9change de crypto-monnaie japonais est victime de l’attaque de la porte d\u00e9rob\u00e9e de JokerSpy macOS"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>26 juin 2023<\/span>\ue804<\/i>Ravie Lakshmanan<\/span><\/span>Crypto-monnaie \/ S\u00e9curit\u00e9 des terminaux<\/span><\/p>\n<\/div>\n

\n
<\/div>\n

Un \u00e9change de crypto-monnaie inconnu situ\u00e9 au Japon a \u00e9t\u00e9 la cible d’une nouvelle attaque au d\u00e9but du mois pour d\u00e9ployer une porte d\u00e9rob\u00e9e Apple macOS appel\u00e9e JokerSpy.<\/p>\n

Elastic Security Labs, qui surveille l’intrusion d\u00e9finie sous le nom R\u00c9F9134<\/strong>, a dit<\/a> l’attaque a conduit \u00e0 l’installation de Swiftbelt, un outil d’\u00e9num\u00e9ration bas\u00e9 sur Swift inspir\u00e9 d’un utilitaire open source appel\u00e9 Ceinture de s\u00e9curit\u00e9<\/a>.<\/p>\n

JokerSky a \u00e9t\u00e9 document\u00e9 pour la premi\u00e8re fois par Bitdefender la semaine derni\u00e8re, le d\u00e9crivant comme une bo\u00eete \u00e0 outils sophistiqu\u00e9e con\u00e7ue pour violer les machines macOS.<\/p>\n

\"La<\/a><\/center><\/div>\n

On sait tr\u00e8s peu de choses sur l’acteur de la menace derri\u00e8re les attaques, \u00e0 part le fait que les attaques exploitent un ensemble de programmes \u00e9crits en Python et Swift qui sont dot\u00e9s de capacit\u00e9s pour collecter des donn\u00e9es et ex\u00e9cuter des commandes arbitraires sur des h\u00f4tes compromis.<\/p>\n

Un composant principal de la bo\u00eete \u00e0 outils est un binaire multi-architecture auto-sign\u00e9 appel\u00e9 xcc qui est con\u00e7u pour v\u00e9rifier les autorisations FullDiskAccess et ScreenRecording.<\/p>\n

Le fichier est sign\u00e9 en tant que XProtectCheck, indiquant une tentative de se faire passer pour XProtect<\/a>une technologie antivirus int\u00e9gr\u00e9e \u00e0 macOS qui utilise des r\u00e8gles de d\u00e9tection bas\u00e9es sur les signatures pour supprimer les logiciels malveillants des h\u00f4tes d\u00e9j\u00e0 infect\u00e9s.<\/p>\n

Dans l’incident analys\u00e9 par Elastic, la cr\u00e9ation de xcc est suivie par l’acteur de la menace “tentant de contourner les autorisations TCC en cr\u00e9ant ses propres Base de donn\u00e9es TCC<\/a> et essayer de remplacer l’existant.”<\/p>\n

\"\"<\/div>\n

“Le 1er juin, un nouvel outil bas\u00e9 sur Python a \u00e9t\u00e9 vu s’ex\u00e9cutant \u00e0 partir du m\u00eame r\u00e9pertoire que xcc et a \u00e9t\u00e9 utilis\u00e9 pour ex\u00e9cuter un outil d’\u00e9num\u00e9ration post-exploitation macOS open source connu sous le nom de Swiftbelt”, ont d\u00e9clar\u00e9 les chercheurs en s\u00e9curit\u00e9 Colson Wilhoit, Salim Bitam, Seth Goodwin. , Andrew Pease et Ricardo Ungureanu ont d\u00e9clar\u00e9.<\/p>\n

L’attaque visait un grand fournisseur de services de crypto-monnaie bas\u00e9 au Japon, ax\u00e9 sur l’\u00e9change d’actifs pour le commerce de Bitcoin, d’Ethereum et d’autres crypto-monnaies courantes. Le nom de la soci\u00e9t\u00e9 n’a pas \u00e9t\u00e9 divulgu\u00e9.<\/p>\n

\"La<\/a><\/center><\/div>\n

Le binaire xcc, pour sa part, est lanc\u00e9 au moyen de Bash via trois applications diff\u00e9rentes nomm\u00e9es IntelliJ IDEA, iTerm (un \u00e9mulateur de terminal pour macOS) et Visual Studio Code, indiquant que des versions d\u00e9rob\u00e9es de logiciels de d\u00e9veloppement de logiciels sont probablement utilis\u00e9es pour obtenir un premier acc\u00e8s.<\/p>\n

Un autre module notable install\u00e9 dans le cadre de l’attaque est sh.py, un implant Python utilis\u00e9 comme conduit pour fournir d’autres outils de post-exploitation comme Swiftbelt.<\/p>\n

“Contrairement \u00e0 d’autres m\u00e9thodes d’\u00e9num\u00e9ration, Swiftbelt invoque le code Swift pour \u00e9viter de cr\u00e9er des artefacts de ligne de commande”, ont d\u00e9clar\u00e9 les chercheurs. “Notamment, les variantes xcc sont \u00e9galement \u00e9crites en utilisant Swift.”<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n