De nouveaux chevaux de Troie ont été découverts, Réactions à la publication du 30/09/2013

[Lionel]

Des chercheurs en sécurité ont découvert une nouvelle vague d'attaque par Chevaux de Troie visant aussi bien les utilisateurs de Windows que d'OS X.






Sous OS X 3 applications ressemblant à des produits commerciaux ont été découvertes. Lors de leur premier lancement elle font les choses suivantes:

• Elles installent dans le dossier utilisateur une application invisible "Launchd.app",
  
• elles inhibent l'affichage de cet exécutable dans le dock et dans la bascule logiciel,
  
• elles nettoient le code de l'application originelle afin d'être moins détectables.

Ensuite, cet exécutable launchd.app va se connecter au réseau et attendre des ordres sachant qu'il contient un système capable de capturer et de transmettre toutes les frappes clavier. Le code est 64 bits et n'est fonctionnel que sous OS X 10.7 et 10.8.
Cette attaque n'est pas nouvelle, ce sont les vecteurs qui le sont et qui ont permis de recycler des systèmes d'attaque antérieurs.
Lien vers le billet original

[Le Fée Vert]

Sous OS X 3 applications ressemblant à des produits commerciaux ont été découvertes.

Ce sont des produits qui viennent depuis les plateforme des développeurs de ces applications ou des version crackées de ces applications?

Par le passé, j'avais installé (et supprimé) CleanMyMac depuis le site de l'éditeur. Je risque quelque chose?

[r@net54]

Sous OS X 3 applications ressemblant à des produits commerciaux ont été découvertes.

Ce sont des produits qui viennent depuis les plateforme des développeurs de ces applications ou des version crackées de ces applications?

Par le passé, j'avais installé (et supprimé) CleanMyMac depuis le site de l'éditeur. Je risque quelque chose?

Apparemment ca vient des softs récupérés sur des sites douteux, puisque le code n'est pas signe!

Allez pour le détecter, faut charger VirusBarrier (le (re)lanceur de l'alerte a l'origine de cet article) ou ClamXav ou n'importe quel antivirus, la signature étant publiée les bases de données devraient être a jour.

Sinon le bestiaux n'est pas nouveau, c'est un bête troyen dont la base a ete repérer depuis 2011 par Kapersky.

http://www.thesafemac.com/new-mac-malware-discovered-icefog/

Il y a quand même une question que je me pose. Sous OS X 10.8, seuls ceux qui ont abaissé le niveau de sécurité de GateKeeper peuvent se faire infecter, ou bien ces malware arrivent-ils désormais à détourner le niveau de sécurité du réglage par défaut de GateKeeper ?

Y-a-t'il déjà eu des cas où le filtre d'Apple (dans le cas du réglage par défaut de GateKeeper) a été mis à mal ?

Oui. Il y a eu au moins un malware qui avait un certificat Gatekeeper valide. Il suffit de créer un "faux" compte dévéloppeur Apple avec une carte de crédit "volée" pour obtenir un certificat valide.

Ensuite Gatekeeper ne fonctionne qu'avec les fichiers téléchargés sur un Mac. Si tu as téléchargé ton image disque sur un PC puis que tu l'as transféré sur ton Mac (par SMB ou par clé USB), Gatekeeper ne verra rien.

Gatekeeper n'a pas été contourne, c'est l'habilitation de la signature qui a été detourne. Il s'agissait d'un faux "vrai certificat", prouvant que vérifier l'identité de quelqu'un avec une CB est inefficace. Donc c'est la procédure de certification qui contenait une faille, pas le logiciel.

On peut installer n'importe quoi sur son Mac du moment que l'on a activé l'option permettant d'installer n'importe quoi sur son Mac... Mais bon si on a fait ça c'est que l'on sait ce que l'on fait, non?