Les chasseurs de logiciels malveillants de Microsoft ont attiré l'attention sur une famille de logiciels malveillants qui ne cible non pas Windows, mais macOS. Ces malwares ont rapidement évolué d'un cheval de Troie de collecte d'informations de base à une porte dérobée furtive dotée de capacités plus puissantes.

Microsoft a dévoilé l’existence d’un virus « UpdateAgent » ciblant les Mac d’Apple. La firme américaine affirme que le malware est passé par de nombreuses versions depuis sa première apparition en septembre 2020, lui donnant une « progression croissante de capacités complexes ».

Cela fait maintenant plus d’un an que les utilisateurs de macOS sont confrontés à ce malware. Il est généralement distribué via des téléchargements drive-by, c’est-à-dire que le logiciel s’installe automatiquement à la suite de la consultation d’un mail ou d’un site piégé. Les pirates utilisent également les pop-ups pour des publicités et de fausses mises à jour pour des outils comme Adobe Flash Player, abandonné depuis longtemps. D’autres malwares, comme Flubot, utilisent également de fausses applications Flash Player pour prendre le contrôle d’un appareil Android.

Qu’est-ce qu’UpdateAgent, ce malware qui évolue constamment ?

Au départ, « UpdateAgent » était un logiciel malveillant de base qui volait des informations. Cependant, celui-ci a évolué pour déployer d’autres malwares sur une machine, comme l'adware Adload. En effet, avec la version d'octobre, les charges utiles secondaires d'UpdateAgent comprennent désormais Adload, un cheval de Troie très persistant qui installe des applications potentiellement indésirables et des logiciels de publicité sur les Mac.

« Le virus a installé le logiciel publicitaire évasif et persistant Adload dans sa version la plus récente », ont déclaré les chercheurs, « mais la capacité d'UpdateAgent à acquérir l'accès à un appareil peut théoriquement être exploitée davantage pour aller chercher d'autres charges utiles, potentiellement plus dangereuses ».

Une fois installé, l'adware utilise des logiciels et des techniques d'injection de publicités pour intercepter les communications en ligne d'un appareil et rediriger le trafic des utilisateurs vers les serveurs des opérateurs de l'adware, en injectant des publicités et des promotions dans les pages Web et les résultats de recherche.

À lire également : Votre mac fait peut-être partie des 30 000 machines infectées par le malware Silver Sparrow

UpdateAgent évolue sans cesse, le rendant difficile à cibler pour Apple

Il existe actuellement deux variantes de ce cheval de Troie en circulation et Microsoft pense qu'il est encore en phase de développement. Des mises à jour sont donc susceptibles d'arriver à l'avenir, qui pourraient lui ajouter des capacités supplémentaires. À cause des mises à jour successives du logiciel malveillant, celui-ci conserve donc toujours une longueur d’avance sur la technologie anti-malware XProtect intégrée d’Apple et sur d’autres contrôles de sécurité.

En se faisant passer pour un logiciel sûr et inoffensif, UpdateAgent parvient donc pour l’instant à passer outre les contrôles Gatekeeper d'Apple qui n'autorisent que les applications de confiance à fonctionner sous macOS grâce à ses mises à jour successives. Le cheval de Troie utilise ensuite les autorisations existantes de l'utilisateur pour effectuer ses activités malveillantes, après quoi il couvre ses traces.

Microsoft a également noté qu'UpdateAgent télécharge sa charge utile malveillante à partir des buckets S3 et de Cloudfront sur AWS. La société a donc collaboré avec Amazon pour supprimer certaines URL problématiques connues, mais sans toutefois avoir réussi à totalement stopper le malware. Vous pouvez d’ailleurs retrouver ci-dessous le détail de toutes les versions d’UpdateAgent depuis son apparition en 2020.

Comme on peut le voir, le malware est passé du vol d'informations de base en décembre 2020 à la capacité de récupérer et de livrer des fichiers .DMG en février 2021, puis à la capacité de récupérer et de diffuser des .ZIP en mars 2021. Plus tard en août, en véritable maître de l’espionnage sur les appareils d’Apple, le malware a étendu sa fonction de reconnaissance pour analyser et collecter les informations System_profile et SPHardwaretype des machines des victimes.

Les Mac d’Apple sont donc loin d’être à l'épreuve des balles en ce qui concerne leur capacité à vous protéger et à n'exécuter que des applications de confiance. L’année dernière, nous vous parlions d’ailleurs d’un autre malware qui inquiétait les utilisateurs de Mac, CheckPoint Software, capable de voler vos données personnelles. Au cours du procès contre Epic Games, Apple avait lui-même annoncé qu’il trouvait « inacceptable » le nombre de virus sur macOS.