le 13 mai 2013

Les analystes de Doctor Web ont détecté une menace ciblant le système d'exploitation macOS et permettant de télécharger et d'exécuter sur la machine de l'utilisateur n'importe quel code écrit en langage Python. De plus, les sites qui diffusent ce malware contaminent également les utilisateurs Windows par un Trojan espion.

La nouvelle menace ciblant les appareils tournant sous macOS a été détectée par nos spécialistes le 29 avril 2019. Ce programme malveillant a reçu le nom Mac.BackDoor.Siggen.20 et représente une porte dérobée (backdoor) qui permet de télécharger un code malveillant d'un serveur distant et de le lancer.

Mac.BackDoor.Siggen.20 pénètre sur les appareils via des sites web appartenant à ses développeurs. Une de ces ressources est conçue comme un petit site avec le portfolio d'une personne en réalité inexistante, et une autre est déguisée derrière une page dédiée à l'application WhatsApp.

Lorsque vous visitez ces ressources, un code intégré identifie le système d'exploitation de l'utilisateur et en fonction de l'OS détecté, soit il télécharge le backdoor, soit le Trojan. Si un visiteur utilise macOS, son appareil est infecté par Mac.BackDoor.Siggen.20, s'il exploite une machine sous Windows, c'est BackDoor.Wirenet.517 (NetWire) qui sera téléchargé. Ce dernier est bien connu comme un Trojan RAT, à l'aide duquel les pirates peuvent contrôler à distance l'ordinateur de la victime, y compris l'utilisation de la caméra et du micro de son appareil. De plus, le Trojan RAT diffusé possède une signature numérique valide.

Selon nos données, le site diffusant Mac.BackDoor.Siggen.20 sous le couvert de l'appli WhatsApp a été ouvert par 300 visiteurs à peu près ayant des adresses IP uniques. La ressource malveillante fonctionne depuis le 24/03/2019 et elle n'a pas encore été exploitée par des pirates dans de grandes campagnes. Néanmoins, les experts de Doctor Web recommandent d'être prudent et de mettre régulièrement à jour l'antivirus. À l'heure actuelle, tous les composants de Mac.BackDoor.Siggen.20 peuvent être détectés uniquement par les produits Dr.Web.

Plus d'infos sur cette menace