De nouveaux chevaux de Troie ont été découverts, Réactions à la publication du 30/09/2013

[Lionel]

Des chercheurs en sécurité ont découvert une nouvelle vague d'attaque par Chevaux de Troie visant aussi bien les utilisateurs de Windows que d'OS X.






Sous OS X 3 applications ressemblant à des produits commerciaux ont été découvertes. Lors de leur premier lancement elle font les choses suivantes:

• Elles installent dans le dossier utilisateur une application invisible "Launchd.app",
  
• elles inhibent l'affichage de cet exécutable dans le dock et dans la bascule logiciel,
  
• elles nettoient le code de l'application originelle afin d'être moins détectables.

Ensuite, cet exécutable launchd.app va se connecter au réseau et attendre des ordres sachant qu'il contient un système capable de capturer et de transmettre toutes les frappes clavier. Le code est 64 bits et n'est fonctionnel que sous OS X 10.7 et 10.8.
Cette attaque n'est pas nouvelle, ce sont les vecteurs qui le sont et qui ont permis de recycler des systèmes d'attaque antérieurs.
Lien vers le billet original

[macgreg2005]

bonjour.
Est ce que quelqu'un peut me dire a quoi correspond ces valeurs nommées SHA1 dans les captures de l'article s'il vous plait?
si on rend le fichiers visibles grace à Onyx par exemple et que l'on supprime "LauncHD.app" normalement invisible, Est ce que cela suffirait à se debarrasser du cheval de Troie?

[reversi]

bonjour.
Est ce que quelqu'un peut me dire a quoi correspond ces valeurs nommées SHA1 dans les captures de l'article s'il vous plait?

Probablement la signature SHA1 de l'archive zip obtenue quand on fait:

openssl sha1 monbeaufichieramoiquejaietquetuaspeutetremaislemienilestplusmieuxdabord.txt

si on rend le fichiers visibles grace à Onyx par exemple et que l'on supprime "LauncHD.app" normalement invisible, Est ce que cela suffirait à se debarrasser du cheval de Troie?

Si tu n'as pas installé récemment une de ces applications, tu n'as aucune chance d'avoir été infecté à la base.

Sinon, non, cela ne devrait a priori pas tout virer car il doit bien y avoir un mécanisme (Login Items ou agents launchd) qui a été utilisé pour lancer automatiquement l'application par la suite. Donc regarder aussi dans:

Préférences Systèmes > Comptes Utilisateurs > Moi > Login Items

et dans

/Users/Moi/Library/LaunchAgents/

pour voir s'il n'y a pas un intrus.

Ce message a été modifié par reversi - 30 Sep 2013, 09:41.