Une nouvelle version du malware Dridex cible actuellement les Mac pour se propager sur un grand nombre d'ordinateurs.
Le malware Dridex est déjà connu par les utilisateurs de PC Windows, mais c'est la première fois que ce logiciel malveillant s'attaque à macOS. Pour ce faire, les hackers ont changé le mode de fonctionnement pour parvenir à leurs fins.
Un malware bien connu qui siphonne les données des utilisateurs en se servant de macros
Dridex, appelé également Bugat et Cridex, est un voleur d'informations développé par le malheureusement célèbre groupe Evil Corp, et qui utilise des macros dans les logiciels Excel ou Word de Microsoft pour récupérer un grand nombre de données. Ce logiciel est d'ailleurs utilisé dans le milieu de l'entreprise.
Il se présente sous la forme d'un fichier, distribué par des campagnes de phishing. Une fois ouvert, un document Word apparait à l'écran pour lancer des macros automatiques qui viendront siphonner toutes les données présentes et les envoyer à distance en établissant une connexion entre la machine et un serveur.
Sur macOS, le principe de départ est dans l'ensemble le même. Les assaillants utilisent un fichier Mach-O, qui porte une extension .o, .dylib, ou .bundle. Ces fichiers sont lisibles à la fois sur Mac, mais aussi sur iOS.
Les utilisateurs Mac sont utilisés comme des "mules" pour transmettre le logiciel malveillant
Ce fichier contient un fichier Word qui, une fois ouvert, va également utiliser une macro automatique, mais cette fois, au lieu de récupérer les données, l'ensemble des fichiers Word dans le répertoire de l'utilisateur sera écrasé et remplacé par de nouvelles versions. Une connexion à un serveur sera par ailleurs établie pour télécharger d'autres fichiers, dont un exécutable (.exe) qui contient le malware Dridex. Ce dernier sera ensuite inclus à chaque fichier Word présent sur la machine.
Le fichier .exe ne peut pas être lu par macOS, donc la récupération de fichiers depuis un ordinateur Apple n'est pas possible. L'objectif est ici d'infecter un maximum de machine Windows, par le biais d'un partage de documents Word, ce qui arrive quotidiennement en entreprise. L'utilisateur ne saura pas que le document qu'il partage est infecté, ses correspondants l'ouvriront en toute confiance et le tour est joué.
En remplaçant l'ensemble des documents Word présents sur l'ordinateur par des copies infectées, il est, de plus, très difficile de trouver la cause du problème et de l'éradiquer.
Il est alors impératif de rester sur vos gardes lorsque vous recevez une pièce jointe douteuse par mail, notamment si elle ne provient pas d'un contact de confiance, et de réfléchir à deux fois avant de l'ouvrir.
Source : The Hacker News
