Le 12 mai 2017

Les spécialistes de Doctor Web ont détecté et examiné un Trojan ciblant macOS et capable d'exécuter des commandes reçues à distance.

Le Trojan backdoor a été ajouté aux bases de données virales Dr.Web sous le nom Mac.BackDoor.Systemd.1 . Au moment du lancement, il affiche, dans la console, le message suivant contenant une erreur " This file is corrupted and connot be opened " et redémarre en tant que daemon avec le nom systemd. Dans le même temps, Mac.BackDoor.Systemd.1 tente de cacher son propre fichier pour lequel il installe des indicateurs appropriés. Ensuite, le Trojan s'enregistre dans l'autorun, en créant un fichier avec les commandes sh et un fichier .plist.

Des informations de configuration sont stockées sous forme chiffrée dans le fichier du Trojan. Selon ces informations, Mac.BackDoor.Systemd.1 établit une connexion au serveur de gestion, ou reste en attente d'une demande entrante pour la connexion. Une fois la connexion établie, le backdoor exécute les commandes reçues et envoie périodiquement aux pirates les informations suivantes :

• nom et version de l'OS,
• nom de l'utilisateur,
• si l'utilisateur dispose des droits d'administrateur (root),
• adresses MAC de toutes les interfaces réseau disponibles,
• adresses IP de toutes les interfaces réseau disponibles
• adresse IP externe,
• type de processeur,
• volume de RAM
• données sur sur la version du malware et sa configuration.

Le Trojan a son propre gestionnaire de fichiers, avec lequel les cybercriminels peuvent effectuer diverses opérations avec des fichiers et des dossiers sur l'ordinateur infecté. Le backdoor peut exécuter les commandes suivantes :

• obtenir une liste de fichiers se trouvant dans un dossier indiqué,
• lire un fichier,
• écrire dans un fichier,
• obtenir le contenu d'un fichier,
• supprimer un fichier ou un dossier,
• renommer un fichier ou un dossier
• modifier les droits pour un fichier ou un dossier (commande chmod),
• modifier le propriétaire d'un objet fichier (commande chown),
• créer un dossier
• exécuter une commande dans le shell bash,
• mettre à jour le Trojan,
• réinstaller le Trojan,
• modifier l'adresse IP du serveur de gestion,
• installer un plug-in

Les produits Dr.Web détectent et suppriment le Trojan Mac.BackDoor.Systemd.1 , qui ne représente donc aucun danger pour nos utilisateurs.

Plus d'infos sur ce Trojan