Un cheval de Troie-Proxy malveillant peut cibler plusieurs systèmes d'exploitation
Des sites Web non autorisés distribuant des versions falsifiées de logiciels piratés ont été identifiés comme sources d'infection pour les utilisateurs d'Apple macOS par un nouveau malware Trojan-Proxy.
Les chercheurs ont expliqué que les auteurs peuvent exploiter cette forme de malware pour générer des revenus en établissant un réseau de serveurs proxy ou en exécutant des activités illicites au nom de la victime, telles que le lancement d'attaques contre des sites Web, des entreprises et des individus, ainsi que l'achat d'armes à feu, de stupéfiants et d'autres articles illégaux.
Les chercheurs ont découvert des preuves suggérant que le malware constitue une menace multiplateforme. Cette conclusion est tirée de la découverte d’artefacts associés à Windows et Android, qui s’appuyaient sur des outils piratés.
Trojan-Proxy se déguise en applications piratées
Les itérations macOS se font passer pour d'authentiques outils multimédia, d'édition d'images, de récupération de données et de productivité. Cela implique que les personnes recherchant des logiciels piratés sont les principales cibles de la campagne. Contrairement à leurs homologues légitimes distribués sous forme de fichiers d'image disque (.DMG), les versions contrefaites sont diffusées sous forme d'installateurs .PKG, comportant un script de post-installation qui déclenche un comportement malveillant après l'installation.
L'objectif ultime de la campagne est de déployer le cheval de Troie-Proxy, qui se déguise en processus WindowServer sur macOS pour échapper à la détection. WindowServer est un processus système fondamental responsable de la gestion des fenêtres et du rendu de l'interface utilisateur graphique (GUI) des applications.
Lors de son lancement, le logiciel malveillant tente d'acquérir l'adresse IP du serveur de commande et de contrôle (C2) via DNS-over-HTTPS (DoH) en cryptant les requêtes et réponses DNS à l'aide du protocole HTTPS.
Par la suite, Trojan-Proxy établit la communication avec le serveur C2 et attend d'autres directives, notamment le traitement des messages entrants pour interpréter l'adresse IP à laquelle se connecter, le protocole à utiliser et le message à transmettre. Cela indique sa capacité à fonctionner comme proxy via TCP ou UDP pour rediriger le trafic via l'hôte compromis.
Les chercheurs ont signalé avoir découvert des cas de logiciels malveillants mis en ligne dès le 28 avril 2023. Pour contrer ces menaces, il est conseillé aux utilisateurs de s'abstenir de télécharger des logiciels à partir de sources non fiables.
