Le piège est redoutable : comment un faux logiciel macOS vole vos données, et comment l’éviter

On ne le répètera jamais assez : attention à ce que vous téléchargez. Et ne vous croyez pas à l'abri des virus simplement parce que vous êtes sur Mac. Malgré sa réputation, macOS est régulièrement ciblé par des logiciels malveillants. Des spécialistes en cybersécurité chez Jamf Threat Labs alertent sur une nouvelle menace sur macOS, qu'ils ont baptisée PamStealer.

Le malware en question est un infostealer, un voleur d'informations. Pour appâter les victimes, PamStealer se fait passer pour une application légitime, en l'occurrence le gestionnaire de presse-papiers gratuit Maccy. Il est capable de lire les fichiers de bases de données, notamment pour dérober les identifiants, les cookies et les extensions de portefeuilles de cryptomonnaies dans les navigateurs. Mais ce qui le différencie le plus des autres malwares est le fait qu'il affiche une demande d'autorisation, obligeant l'utilisateur à saisir son mot de passe système. Il fait ensuite appel à la fonctionnalité PAM (Pluggable Authentication Modules) de macOS pour vérifier le mot de passe et demande une nouvelle saisie en cas d'erreur. Il récolte ainsi uniquement des mots de passe validés.

Attention, ce site est un faux. La véritable application Maccy est disponible à l’adresse macc.app. © Capture FS

Une fausse application pour piéger les utilisateurs

L'attaque se déroule en deux étapes. La première consiste en un dropper, une fausse application Maccy contenant un fichier AppleScript compilé dans une image disque. Celui-ci analyse le système, puis télécharge et installe le malware, initiant la seconde étape. Curieusement, le dropper ne s'active pas s'il détecte que l'ordinateur est en Russie, Biélorussie, Kazakhstan ou quelques autres pays de la même région. L’infostealer est installé de manière à dissimuler ses composants en imitant des applications système, comme Finder. Afin d'augmenter la quantité d'informations disponibles, il tente aussi de convaincre l'utilisateur de lui accorder un accès complet au disque dans les réglages système.

Pour parfaire l'imitation, les auteurs ont même créé un site Web à l'adresse maccyapp[.]com qui semble légitime, disponible en plusieurs langues. Le site est toujours disponible au moment de la rédaction de cet article. Si vous souhaitez télécharger Maccy, utilisez uniquement l'adresse officielle maccy.app.