Apple met à jour XProtect pour bloquer les logiciels malveillants "Windows"

Le logiciel de sécurité XProtect d’Apple a été mis à jour en mode silencieux pour inclure les signatures qui détectent les fichiers Windows PE et les exécutables Windows pouvant être exécutés sur des Mac à l’aide du framework Mono .NET.

XProtect est un logiciel antivirus intégré à Apple qui offre une protection en temps réel sur les Mac. Afin de protéger les utilisateurs, XProtect utilise des signatures construites à partir de règles Yara qui ciblent les menaces connues pour les utilisateurs Mac.

Selon Patrick Wardle , expert en sécurité chez mac , le 19 avril 2019, deux nouvelles signatures ont été publiées. Elles permettent, lorsqu'elles sont utilisées conjointement, de détecter les ensembles de logiciels publicitaires contenant des exécutables Windows pouvant s'exécuter sur macOS.

Ces deux nouvelles signatures sont appelées "PE", qui détecte les fichiers Windows PE, et "MACOS.d1e06b8", qui permet de détecter un exécutable Windows spécialement conçu pouvant être exécuté sur Mac.

Yara Signature pour MACOS.d1e06b8 (source: patrick wardle )

XProtect utilisera la règle ci-dessus pour détecter les exécutables Windows contenant les chaînes suivantes. Notez que les chaînes ci-dessous sont basées sur l'hex visible ci-dessus, elles peuvent donc être coupées.

//*ErborC
()
trackingXML
AllInstal
offer_parameter
offer_id

Ces chaînes sont associées à des ensembles de logiciels publicitaires contenant des exécutables Windows modifiés pour s'exécuter sur des Mac utilisant le framework Mono C #.

Cibler les lots de logiciels publicitaires Mac

En février, nous avions signalé la présence de malwares utilisant un programme d’installation Mac pour exécuter les exécutables Windows à l’aide de la structure Mono C #.

Mono est un framework multi-plateforme qui permet aux programmes C # de s'exécuter sous Windows, Mac et Linux. 

Les exemples de logiciels malveillants découverts extrairaient un exécutable Windows nommé Installer.exe, qui utilise les bibliothèques Mono Mac incluses pour s'exécuter sur les Mac.

Mac Adware Bundle avec l'exécutable Windows

Une fois exécutés, les ensembles de logiciels publicitaires contacteraient les serveurs distants pour télécharger les "offres" à installer. Ces offres pourraient être des extensions de navigateur indésirables, des logiciels publicitaires, des mineurs et des chevaux de Troie voleurs de mots de passe.

Bien que ces ensembles de logiciels publicitaires soient des exécutables Windows, ils ne pourraient pas réellement fonctionner sous Windows. En effet, ils tentent de charger les bibliothèques de structure Mac Mono, qui ne sont pas disponibles sous Windows. Vous pouvez voir ci-dessous ce qui se passe lorsque vous essayez d’exécuter ces exécutables sous Windows.

Sous Windows

Alors que les langages tels que C # deviennent multi-plateformes, il est important de pouvoir détecter les fichiers Windows PE pour protéger les utilisateurs contre les malwares pouvant désormais être facilement transférés sur des Mac utilisant un cadre tel que Mono.

-------------------------------------------------------------------------------------------------------------------------------

De plus, si vous êtes intéressé par la lecture de tels articles, veillez à suivre ce blog en cliquant sur le bouton "S'abonner".

Et si vous avez des questions, n'hésitez pas à communiquer avec nous ou à commenter directement ci-dessous, ou sur "News Républic" application disponible sur smartphone Android, iios, windows phone, une fois installé, recherchez :  "Global Informatique" .... Certains sujet sont écrits directement sur "News Républic"..

Source :bleepingcomputer