Le 21 septembre 2015

Ce mois-ci, nous avons déjà parlé deTrojans qui installent des applications indésirables et publicitaires sur les ordinateurs sous Windows. Les chercheurs de Doctor Web ont découvert un installateur publicitaire ciblant Mac OS X, baptisé Adware.Mac.WeDownload.1.

L'échantillon Adware.Mac.WeDownload.1, analysé par le laboratoire de Doctor Web, représente un faux package d'installation du lecteur Adobe Flash Player et comprend la signature digitale suivante : "Developer ID Application: Simon Max (GW6F4C87KX)". Cet installateur se propage via un programme de partenariat qui vise à gagner de l'argent sur le trafic de fichiers.

Lors de son installation, Adware.Mac.WeDownload.1 demande les droits de super administrateur de l'OS et s'adresse consécutivement à trois serveurs de gestion dont il contient les adresses. Si l'un des serveurs ne répond pas, l'installateur s'arrête. En cas de réponse, Adware.Mac.WeDownload.1 envoie au serveur de gestion une requête POST contenant des données de configuration en JSON (JavaScript Object Notation), et reçoit en réponse une page en HTML qu'il affichera à l'utilisateur. Toutes les autres requêtes GET et POST enregistrent l'heure et la signature digitale générée spécialement.

Après avoir envoyé la requête appropriée, Adware.Mac.WeDownload.1 reçoit la liste des application qu'il proposera à l'utilisateur d'installer. Par exemples les logiciels indésirables ou même malveillants Program.Unwanted.MacKeeper, Mac.Trojan.Crossrider, Mac.Trojan.Genieo, Mac.BackDoor.OpinionSpy, des représentants de la famille Trojan.Conduit et d'autres.

Le nombre et la liste de logiciels à installer dépend de la géolocalisation de l'IP de la victime. Si cette liste d’applications est vide, l'utilisateur installera uniquement le logiciel qu'il souhaitait.

La société Doctor Web rappelle aux utilisateurs d'être vigilants et de ne pas télécharger de fichiers provenant de sources suspectes. La signature du malware Adware.Mac.WeDownload.1 a été ajoutée aux bases virales Dr.Web et ce Trojan ne représente aucune menace pour les utilisateurs de Dr.Web pour Mac OS X.

Plus d'infos sur cette menace