La protection contre Mac Defender déjà contournée, Réactions à la publication du 02/06/2011

[Lionel]

Il aura fallu encore moins de temps que nous le pensions, seulement quelques heures, pour que les protections mises en place par Apple afin de protéger les machines (sous Snow Leopard uniquement) contre Mac Defender soient caduques.
Une variante de ce malware ayant une signature différente de celle installée par Apple est déjà présente sur la toile et passe les nouveaux contrôles mis en place par Apple sans coup férir.


À notre avis, la situation est maintenant plus grave qu'elle ne l'était sans les protections, car de nombreuses personnes mal informées vont se croire à tort protégées et risquent donc de ne pas prendre les précautions élémentaires qu'elles auraient maintenues autrement.
On est de plus partis dans une course contre ces variantes qu'Apple ne peut en l'état actuel des choses gagner puisque le système de signature mis en place ne peut être mis à jour qu'une fois les nouvelles variantes détectées ce qui fait que les pirates auront forcément un coup d'avance.
Nous n'irons pas jusqu'à dire que la bataille est perdue d'avance, mais 20 ans d'antivirus sur PC ont prouvé qu'on ne pouvait pas se débarrasser de ces menaces tout comme nous n'arriverons certainement jamais à éradiquer toutes les maladies infectieuses.
Apple se retrouve donc, maintenant qu'ils ont mis le doigt dans l'engrenage, dans la situation d'avancer à marche forcée et avec des équipes dédiées pour réagir au plus vite en espérant perdre le moins de temps possible entre l'apparition des menaces et la mise à jour de leurs bases de signatures.


Cette affaire risque également de laisser des traces au niveau médiatique. Maintenant, on va bien plus fréquemment parler de ces menaces touchant Mac OS X.
Par Lionel

[gibs]

En 20 ans de virus sous PC (W3.X/W9X/NT4/2000/XP) on va simplifier pour le particulier (W3.X/W9X/XP) il n'y avait pas de PW sur le compte admin par défaut (comme vous l'avez sans doute compris, je ne parle pas de 3.X , 95 et 98) mais bien de XP.
Donc avant Vista c'etait toujours journée portes ouvertes à tout...

Ce qui est différent pour des OS comme Linux/OSX/Vista/Seven ou les virus ont besoin d'utiliser une faille de sécurité pour s'installer, ou le manque de connaissance de l'utilisateur.

Nous sommes donc en présence du 2e cas de figure, donc rien de *vraiment* grave...
Il y a eu des virus depuis l'arrivée des disquettes sur tous les micro-ordinateurs et leurs OS.

De là à dire que c'est Apple qui balance du virus pour qu'on achète sur App Store c'est -ne pas avoir suivi l'affaire et raconter des idioties- puisque c'est à la consultation d'une page web qu'on est convié à taper son mot de passe admin.


Ce message a été modifié par gibs - 1 Jun 2011, 23:48.

[SartMatt]

Ce qui est différent pour des OS comme Linux/OSX/Vista/Seven ou les virus ont besoin d'utiliser une faille de sécurité pour s'installer, ou le manque de connaissance de l'utilisateur.

Nous sommes donc en présence du 2e cas de figure, donc rien de *vraiment* grave...

Ce malware n'exploite pas simplement le manque de connaissance de l'utilisateur, il utilise aussi une faille de sécurité monumentale en 2011, et qu'Apple n'a pas corrigé (c'est une faille fonctionnelle, pas une faille technique, et Apple semble décidée à rester dans son choix très discutable) : un navigateur web qui peut télécharger et exécuter une package d'installation sans la moindre confirmation de l'utilisateur ! Ce n'est qu'après l'exploitation de cette faille qu'on passe à une exploitation du manque de connaissance de l'utilisateur.

Perso un navigateur qui permet ça, c'est direct à la poubelle, je comprends même pas que ça puisse encore exister...

Ce message a été modifié par SartMatt - 1 Jun 2011, 23:56.

[Guest_ps1024_*]

Ce qui est différent pour des OS comme Linux/OSX/Vista/Seven ou les virus ont besoin d'utiliser une faille de sécurité pour s'installer, ou le manque de connaissance de l'utilisateur.

Nous sommes donc en présence du 2e cas de figure, donc rien de *vraiment* grave...

Ce malware n'exploite pas simplement le manque de connaissance de l'utilisateur, il utilise aussi une faille de sécurité monumentale en 2011, et qu'Apple n'a pas corrigé (c'est une faille fonctionnelle, pas une faille technique, et Apple semble décidée à rester dans son choix très discutable) : un navigateur web qui peut télécharger et exécuter une package d'installation sans la moindre confirmation de l'utilisateur !

C'est faux ! Safari n'exécute rien du tout, il ouvre le package d'installation, ce qui n'est pas plus dangereux que d'ouvrir une image ou un PDF(*). L'utilisateur doit ensuite explicitement lancer le processus d'installation.

(*) ça l'est même moins, vu qu'il y a eu quantité de failles dans les librairies JPEG ou PDF qui pouvaient permettre, via un fichier malicieux, d'exécuter du code par sa simple ouverture. A ma connaissance, ça n'a jamais été le cas avec les paquets d'installation. Bref, un navigateur qui refuserait d'ouvrir un tel paquet au nom de la sécurité devrait également refuser d'afficher la moindre image sans l'accord explicite de l'utilisateur...

Ce message a été modifié par ps1024 - 2 Jun 2011, 08:26.

[SartMatt]

C'est faux ! Safari n'exécute rien du tout, il ouvre le package d'installation, ce qui n'est pas plus dangereux que d'ouvrir une image ou un PDF(*). L'utilisateur doit ensuite explicitement lancer le processus d'installation.

(*) ça l'est même moins, vu qu'il y a eu quantité de failles dans les librairies JPEG ou PDF qui pouvaient permettre, via un fichier malicieux, d'exécuter du code par sa simple ouverture. A ma connaissance, ça n'a jamais été le cas avec les paquets d'installation. Bref, un navigateur qui refuserait d'ouvrir un tel paquet au nom de la sécurité devrait également refuser d'afficher la moindre image sans l'accord explicite de l'utilisateur...

Ça c'est la théorie... Tout comme en théorie, Windows est plus sûr qu'OS X, alors qu'en pratique, il ne l'est pas car beaucoup plus attaqué.

Et là, en pratique, on sait très bien que l'utilisateur lambda, il a tendance à cliquer n'importe où. Donc télécharger et exécuter automatiquement un package d'installation, ça revient bien chez bon nombre d'utilisateurs à autoriser l'installation automatique de code exécutable, qui pourra s'exécuter au démarrage...

C'est en pratique une faille de sécurité bien plus importante que d'ouvrir des images ou des fichiers PDF, puisque les failles dans les librairies concernées sont plus rarement exploitées (quel est le pourcentage de fichiers JPG/PDF vérolés sur Internet ? probablement pas grand chose... par contre, parmi les sites qui lancent automatiquement un package d'installation sans que l'utilisateur ait demandé à le télécharger, doit y en avoir une sacré proportion qui sont malicieux...).

Quand on parle de sécurité, faut vraiment apprendre à faire la différence entre la théorie et la pratique, les Mac users devraient particulièrement le savoir, parce qu'ils sont bien plus protégés par la pratique que par la théorie !

Petite illustration pour bien comprendre : j'ai un vieux vélo rouillé des années 70 et un VTT Lapierre à 1000€. Imaginons que j'attache les deux dans la rue, le premier avec ficelle nouée autour d'un poteau, le second avec un cadenas bas de gamme. Le premier est en théorie bien plus exposé au vol. Le second est en pratique très probablement le premier à se faire voler... (en pratique, ça m'est déjà arrivé de laisser le premier pendant une semaine dans la rue sans qu'il soit attaché, à des endroits où un VTT premier prix avec un petit cadenas tient pas le temps d'une séance de cinéma).