L' écosystème Mac est confronté à une menace d'une toute nouvelle ampleur : MacSync Stealer , un logiciel malveillant spécialisé dans le vol de données qui infiltre les ordinateurs en exploitant les systèmes de sécurité d'Apple . Loin des virus de piètre qualité d'antan, ce logiciel malveillant se présente comme une application légitime et fiable, dotée d'une signature de développeur valide et d'un processus de vérification notarié, y compris en Espagne et dans le reste de l'Europe, comme le démontrent les analyses de cyberattaques contre Mac et Linux.
Dans ses variantes les plus récentes, cette famille de codes malveillants s'exécute comme une application Swift, signée et certifiée par Apple , ce qui lui permet de contourner de nombreuses mesures de sécurité initiales de macOS, notamment Gatekeeper et XProtect. Cette avancée majeure complique la détection précoce et ouvre la voie à des fuites silencieuses de données personnelles et professionnelles, tant à domicile qu'au travail.
Qu’est-ce que MacSync Stealer et comment a-t-il évolué dans macOS ?
Dans ses premières phases, l'infection reposait sur des techniques exigeant une intervention explicite de l'utilisateur , telles que des méthodes similaires à ClickFix ou les classiques commandes « copier-coller » dans le Terminal pour exécuter des scripts malveillants. Cette approche nécessitait une interaction manuelle plus importante, offrant ainsi aux utilisateurs davantage de chances de soupçonner une anomalie et d'interrompre l'installation avant que les dégâts ne s'étendent.
L'analyse de Jamf Threat Labs , un laboratoire de sécurité de pointe spécialisé dans les appareils Apple, décrit une situation très différente pour cette dernière variante. Selon leurs rapports, MacSync Stealer a adopté un modèle d'infection beaucoup plus automatisé et silencieux , minimisant ainsi les signes visibles pour la victime et tirant parti de la confiance instaurée par la signature et la certification d'Apple.
L'astuce réside dans le fait que la première phase de l'attaque se présente comme une application Swift, avec un identifiant de développeur légitime, une signature de code valide et une notarisation réussie . Pour le système d'exploitation et la plupart des utilisateurs, cette combinaison est synonyme de logiciel fiable, alors qu'en réalité, il s'agit du premier maillon d'une chaîne d'infection soigneusement élaborée.
Bien souvent, la menace se dissimule sous l'apparence d'un service de messagerie, d'un outil de productivité ou d'un utilitaire de synchronisation , avec un nom, une icône et une description qui semblent parfaitement inoffensifs. Cette façade contribue à atténuer les soupçons initiaux, un détail particulièrement inquiétant dans les bureaux, les administrations publiques et les entreprises européennes où le Mac est devenu un outil de travail quotidien.
Un programme d'installation Swift qui contourne Gatekeeper et agit comme un dropper
La campagne décrite par Jamf révèle que le premier élément de la menace fonctionne comme un dropper écrit en Swift : un installateur d'apparence légitime dont le véritable but est de préparer le terrain et de télécharger le code malveillant depuis un serveur distant. Initialement, le binaire Mach-O contenant cette application semble signé et notarié, associé à un véritable identifiant d'équipe de développement , ce qui lui permet de passer aisément les premiers contrôles de Gatekeeper.
Dans l'un des cas analysés, le programme d'installation était distribué sous forme d' image disque DMG portant le nom d'une application de messagerie , par exemple « zk-call-messenger-installer-3.9.2-lts.dmg », et hébergé sur un domaine préparé spécifiquement pour la campagne. Ce programme se présente à l'utilisateur comme un outil d'appel et de messagerie ; un simple double-clic suffit donc pour l'exécuter , sans les étapes complexes des infections plus anciennes.
Même si le paquet est signé, il arrive que des attaquants ajoutent des instructions forçant l'utilisateur à faire un clic droit et à sélectionner « Ouvrir », une astuce classique pour contourner les avertissements supplémentaires de macOS lorsque l'application ne provient pas du Mac App Store. Ce petit détail, souvent négligé, devrait déjà éveiller les soupçons, surtout si le logiciel provient d'un site web peu connu.
Une fois l'application lancée par l'utilisateur, le programme d'installation effectue une série de vérifications environnementales avant de passer à la seconde phase . Il vérifie notamment que l'appareil dispose d'une connexion Internet stable, contrôle certaines conditions système et, dans certains cas, attend un délai d'exécution minimal d'environ 3 600 secondes afin de s'assurer que son comportement n'est ni trop immédiat ni suspect.
Lorsque les conditions définies par les attaquants sont réunies, le programme se connecte à un serveur de commande et de contrôle distant pour télécharger un script ou une charge utile encodée, généralement en Base64, contenant le cœur de MacSync Stealer. À ce stade, le code responsable du vol d'informations et du maintien du contrôle sur le Mac compromis est déjà présent , tandis que le programme d'installation initial agit simplement comme un cheval de Troie.
Fichiers DMG gonflés, fichiers leurres et modifications de téléchargement pour contourner la détection
L'un des aspects qui a le plus retenu l'attention des chercheurs est l'utilisation d' images disque volumineuses contenant des fichiers leurres . L'image disque (DMG) associée à ce programme d'installation pèse environ 25,5 Mo , une taille inhabituellement importante pour ce qui semble être une simple application de messagerie ou un utilitaire léger.
D'après Jamf Threat Labs, cette taille excessive est obtenue en gonflant le paquet avec des documents inutiles, tels que des PDF ou d'autres fichiers intégrés qui n'apportent rien au fonctionnement de l'application. Ce mélange de contenu superflu avec le composant principal complique l'analyse automatisée effectuée par les solutions antivirus et de sécurité , qui doivent traiter un volume de données plus important et distinguer les éléments légitimes des éléments non légitimes.
Après avoir monté l'image disque et lancé l'application, le programme d'installation effectue une analyse de l'environnement local afin de vérifier la connectivité et certains paramètres système. Ce n'est que lorsqu'il est certain que le scénario est approprié qu'il contacte l'infrastructure distante pour télécharger le second module. Dans de nombreux cas, les charges utiles s'exécutent principalement en mémoire, laissant une empreinte minimale sur le disque et compliquant ainsi leur détection ultérieure.
Le code téléchargé lors de cette seconde phase correspond à MacSync, une évolution d'une famille précédente connue sous le nom de Mac.c. Des enquêtes indépendantes indiquent que cet agent est développé en Go et possède un éventail de capacités qui va bien au-delà du simple vol de mots de passe, suivant la tendance d'autres menaces modernes ciblant macOS.
Pour couronner le tout, les attaquants peaufinent même leurs techniques. commandes de téléchargement utilisées dans le processusL'utilisation d'outils tels que curl Cela se fait avec des combinaisons de paramètres moins courantes, par exemple en séparant la chaîne typique -fsSL sur des drapeaux comme -fL y -sSet en intégrant des options telles que --noproxy— dans le but de contourner les règles de détection basées sur des motifs répétitifs et améliorer la fiabilité de la connexion à leurs serveurs.
Du vol de données à la plateforme de contrôle à distance
Le cœur de MacSync Stealer va au-delà de la catégorie de base des voleurs d'informations : les analyses techniques décrivent un agent doté de capacités complètes de commande et de contrôle (C2) , préparé à maintenir une communication permanente avec l'équipe affectée et à recevoir des instructions en temps réel.
Cette famille de logiciels malveillants permet notamment le vol d'identifiants, de cookies de navigation, de données de cartes bancaires et de portefeuilles de cryptomonnaies , ainsi que l'exfiltration de tous types de fichiers susceptibles d'intéresser les attaquants. L'accès aux informations stockées dans le Trousseau d'accès macOS et aux données de navigateurs tels que Safari, Chrome et Firefox a également été observé ; autant de cibles de choix pour les campagnes de fraude financière et d'espionnage industriel.
Un autre point crucial est la possibilité d' installer des modules supplémentaires à la demande . Cette approche modulaire permet à l'appareil compromis de devenir une sorte de « couteau suisse » malveillant : aujourd'hui, l'accent peut être mis sur la collecte de mots de passe, et demain sur l'enregistrement des frappes au clavier, le chiffrement des fichiers, les déplacements latéraux sur un réseau d'entreprise ou le déploiement de nouveaux outils d'accès à distance.
Pour les utilisateurs et les entreprises en Espagne et dans le reste de l'Europe, cette transition d'un simple voleur de données à une plateforme de contrôle à distance flexible représente un bond considérable en matière de risques. Un Mac infecté cesse d'être une source ponctuelle de vol d'informations et devient une porte d'entrée vers les réseaux d'entreprise, les services cloud ou les systèmes critiques auxquels l'appareil a accès.
Ce scénario s'inscrit dans une tendance plus large observée par diverses entreprises de cybersécurité : l' augmentation constante des voleurs d'informations et des chevaux de Troie modulaires ciblant macOS , alimentée par la part de marché croissante des équipements Apple et le profil économique de ses utilisateurs, ce qui en fait une cible particulièrement attrayante pour la fraude en ligne.
Réponse d’Apple et limites de la protection automatique dans macOS
Suite aux avertissements de Jamf Threat Labs et d'autres entreprises de sécurité, Apple a révoqué les certificats de signature de code associés à l'identifiant d'équipe utilisé dans la campagne MacSync Stealer . De ce fait, le système d'exploitation ne fait plus confiance aux applications signées avec cet identifiant et bloque les nouvelles versions qui tentent de l'utiliser pour diffuser des logiciels malveillants.
Parallèlement, l'entreprise a mis à jour ses mécanismes de protection internes, tels que XProtect et Gatekeeper , avec de nouvelles règles de détection et des listes de hachages et de signatures connus. Dans les versions actuelles de macOS, ces listes noires sont régulièrement mises à jour automatiquement ; il est donc essentiel de maintenir le système à jour et d'appliquer les mises à jour disponibles pour bénéficier de ces correctifs et améliorations.
Malgré tout, les experts insistent sur le fait que l'affaire MacSync Stealer illustre une tendance générale des logiciels malveillants ciblant macOS : les attaquants tentent de plus en plus d' intégrer leur code dans des exécutables signés et notariés , leur donnant ainsi l'apparence d'applications parfaitement légitimes et dignes de confiance. S'ils y parviennent, la probabilité que l'utilisateur reçoive des avertissements clairs est considérablement réduite.
Des rapports de Jamf et d'autres entreprises soulignent que même lorsqu'Apple révoque les certificats compromis, les cybercriminels peuvent enregistrer de nouveaux identifiants de développeur et reproduire la même stratégie , en modifiant légèrement certains détails pour contourner les nouvelles règles. Ce jeu du chat et de la souris exige de compléter les défenses natives de macOS par des couches de protection supplémentaires.
Ce contexte renforce l'idée que la sécurité ne peut reposer uniquement sur des protections automatisées . Si Gatekeeper, XProtect et le processus de notarisation ont considérablement renforcé la sécurité, des attaques comme MacSync Stealer démontrent que les mécanismes de confiance peuvent également être utilisés contre les utilisateurs lorsqu'une personne parvient à faire passer son application à travers la chaîne de vérification.
Impact sur les utilisateurs de Mac en Espagne et en Europe et bonnes pratiques de protection
La généralisation des Mac dans les bureaux, les universités et les foyers en Espagne et dans le reste de l'Europe a accru leur attrait auprès des groupes criminels. Ce n'est plus une plateforme de niche : de plus en plus d'organisations intègrent macOS à leurs infrastructures, faisant de menaces comme MacSync Stealer un problème majeur dans la région.
Les experts recommandent de renforcer à la fois la sécurité technique et les bonnes pratiques au quotidien. La première mesure, en apparence simple mais fondamentale, consiste à maintenir macOS et les applications à jour et à effectuer des sauvegardes régulières , car Apple introduit fréquemment de nouvelles signatures et règles de blocage pour ce type de menaces. Ignorer les mises à jour de sécurité expose le système à des variantes déjà documentées et corrigées.
Il est également important de limiter l'installation de logiciels au Mac App Store ou à des développeurs reconnus . Même si le programme d'installation semble signé et certifié, ce label ne constitue plus une garantie absolue de sécurité, comme le démontre cet exemple. Télécharger des applications à partir de liens reçus par courriel, messagerie ou sites web non fiables augmente considérablement le risque d'infection.
Un autre point essentiel est de prêter attention aux autorisations demandées par chaque application . L'accès au trousseau, aux documents utilisateur, à l'historique de navigation ou aux options d'accessibilité sont des autorisations à accorder avec parcimonie, surtout lorsqu'il s'agit d'utilitaires gratuits d'origine douteuse. De nombreuses infections réussies reposent précisément sur des autorisations excessives acceptées par l'utilisateur sans les examiner attentivement.
Dans un contexte professionnel, notamment au sein de l'Union européenne, il est conseillé de compléter les mesures de sécurité d'Apple par des solutions de sécurité spécifiques à macOS , des outils EDR et des politiques claires de téléchargement et d'installation de logiciels. Ces mesures sont particulièrement importantes pour les entreprises soumises à la réglementation sur la protection des données, où un vol d'identifiants ou une exfiltration de données peut entraîner des sanctions et une perte de confiance.
Tout ce qui entoure MacSync Stealer démontre à quel point les logiciels malveillants ciblant les Mac sont devenus courants : les attaquants utilisent des exécutables signés et notariés, gonflent les images disque avec des fichiers leurres, téléchargent des charges utiles de seconde phase depuis des serveurs distants et déploient des agents capables de voler des données et de maintenir le contrôle à distance des ordinateurs. Dans ce contexte, l’idée reçue selon laquelle « les Mac sont exempts de virus » est définitivement dépassée, et la protection repose désormais sur la combinaison des défenses natives d’Apple avec de bonnes pratiques d’utilisation et une vigilance constante afin de garantir que nos propres ordinateurs ne constituent pas le maillon faible de la chaîne.