J’ai affronté mon premier malware sur Mac

Quand j’ai quitté Windows, d’abord pour Linux avant de passer sur macOS, la promesse de ne plus avoir à gérer les innombrables virus et autres malwares qui pullulaient sur le système de Microsoft était un des arguments les plus séduisants. C’était entre la fin des années 1990 et la première moitié des années 2000, une époque où l’on installait tous des antivirus qui ne protégeaient pas vraiment les PC, mais qui les ralentissaient assurément.

Ne plus avoir à gérer Norton et compagnie faisait envie et je me souviens que c’était un argument qui revenait très souvent dans les débats enflammés sur les forums et autres canaux IRC (la belle époque…). Bref, j’ai abandonné l'univers Windows au profit d’un autre, beaucoup plus sécurisé. Et pendant quelques années, on n’a jamais vraiment entendu parler de virus ou d’autres saletés virtuelles sur Mac.

Mais depuis cinq ou six ans, ils ont fait leur retour dans l’actualité Apple. Le constructeur a ajouté une liste, XProtect, pour contrer les malwares connus avec Snow Leopard, ce qui n’a pas empêché quelques attaques spectaculaires. C’est souvent Flash qui a servi de vecteur — plusieurs centaines de milliers de Mac infectés en 2012 —, parfois aussi Java, mais dernièrement, c’est Transmission qui a été utilisé. Ke.Ranger a fait énormément parler de lui au printemps dernier et même s’il n’a concerné « que » quelques milliers de Mac, il a suscité beaucoup d’agitation.

Alors que je n’ai jamais vraiment souffert de virus pendant mes années Windows (la lenteur des anti-virus, en revanche…), j’ai été confronté à au moins un malware, nommé Trovi et qui agit depuis longtemps manifestement. Pas sur un PC, mais sur un Mac, et pas plus tard qu'hier soir. J’ai été désarmé face à ce programme malveillant, je n’avais aucun outil installé pour le supprimer et il était plus agressif que je ne l’imaginais.

Je ne sais pas comment ce malware est arrivé. C’est la première question que l’on se pose naturellement : pourquoi moi ? Cela ne devrait pas m’arriver, je suis censé m’y connaître et faire attention ! J’ai quelques pistes sur l’origine : ce Mac est sous la télé dans le salon et il est essentiellement utilisé en tant que media-center, ce qui explique que je ne le surveillais pas attentivement. Il arrive que l'on visite des sites de téléchargement susceptibles de propager des logiciels malveillants. Et Flash et Java étaient installés et pas forcément mis à jour, ce qui est une très mauvaise idée.

Mais au fond, tout cela n’a aucune importance. Inutile de s’apitoyer ou pire, de se moquer des victimes, cela peut probablement arriver à n’importe qui, surtout si on ne surveille pas de près sa machine. J’aurais dû être plus prudent, évidemment, mais ce Mac était protégé en théorie. Entre XProtect et GateKeeper, les sécurités de base proposées par Apple étaient bien en place, mais elles ont failli à leur devoir.

Il faut dire que ce logiciel malveillant — ou ces logiciels, je ne sais pas exactement — était présent depuis longtemps. J’ai retrouvé des fichiers vieux de près d’un mois, signe qu’il s’est probablement installé et qu’il est resté inactif pendant longtemps. Ces dernières semaines, le seul signe étrange était une abondance de publicités dans Safari : sur certains sites, une fenêtre de publicité s’ouvrait à chaque premier clic sur chaque page. J’ai installé un bloqueur de publicité, cela n’y a rien fait, et puis surtout, ce phénomène se reproduisait de plus en plus partout, y compris sur des sites normalement sans publicités.

À ce stade, j’étais alors très suspicieux et j’ai ouvert le moniteur d’activité de macOS, ce qui a confirmé instantanément les doutes que je pouvais encore avoir. Des dizaines et des dizaines de processus que je ne connaissais pas, associés à un utilisateur qui « n’existe pas » sur le Mac. Ils ont tous des noms bizarres pour mieux induire l’utilisateur trop curieux en erreur : si on ne sait pas ce que l’on regarde, on passerait totalement à côté.

Idem dans la Console, où ces mêmes processus envoyaient des milliers et des milliers de messages en permanence. Là encore, cela ne veut rien dire pour un néophyte, ce qui est malin de la part du script malveillant : il est difficile à détecter. Pour ma part, j’ai trouvé dans les logs de la Console des chemins d’accès et j’ai commencé à fouiller.

Il ne m’a pas fallu longtemps pour trouver les emplacements où ce malware agissait. J’ai retrouvé tous les noms bizarres des processus dans le dossier bibliothèque à la racine du Mac, dans /private/var, dans celui dédié aux LaunchDeamon où tous les processus qui tournent à l’arrière-plan sont situés. L’action de base du script est évidente : se cacher au milieu du système en répartissant ses fichiers à plein d’endroits différents, et s’assurer une présence même en cas de redémarrage.

Face à cette découverte, j’ai entrepris un nettoyage manuel : j’ai ouvert tous les dossiers du système pour repérer soit les noms des processus listés dans le moniteur d’activités, soit les dossiers modifiés récemment. Et j’ai supprimé à tour de bras tout ce qui me semblait suspect, passant par le terminal pour m’assurer que tout était bien retiré. Le souci, c’est qu’à chaque fois que je supprimais un dossier, deux ou trois autres venaient le remplacer. Il fallait en venir à la source, mais c’était plus facile à dire qu’à faire.

En effet, j’ai noté une réaction du programme malveillant, comme s’il avait été programmé pour se défendre. Jusque-là très discret — nonobstant les publicités dans Safari, on ne l’avait jamais vu agir —, il est devenu hyper actif. Le malware ouvrait régulièrement Safari pour changer mes paramètres, supprimer mes extensions et installer une extension nommée Trovi. Quand je cherchais dans Google des informations sur un logiciel anti-malware, il quittait le navigateur. J’ai ouvert Firefox, mais il a fait la même chose, changeant même la page d’accueil pour un clone de Google, probablement du phishing.

Reconnaissant (enfin…) que je n’allais pas éradiquer tout seul ce corps étranger de mon Mac, je me suis résigné à installer un anti-malware, chose que je n’aurais jamais imaginé faire sur Mac. J’ai opté pour l’outil de MalwareBytes qui a le principal avantage d’être gratuit. Après avoir lutté pour l’installer — il m’a fallu créer une autre session uniquement pour lancer l’application —, j’ai lancé l’analyse. Il a trouvé quelques fichiers, les a placé à la corbeille et m’a demandé de redémarrer le Mac... Mais le système n’a jamais redémarré.

Est-ce la faute de l’anti-malware ou d’un nettoyage trop agressif de ma part ? Toujours est-il qu’il manquait quelque chose pour qu'El Capitan redémarre normalement. À ce moment-là, après une bonne heure à lutter contre ce logiciel malveillant, j’ai rendu les armes, formaté le disque dur et réinstallé le système d’exploitation. Fort heureusement, ce Mac était utilisé comme media-center et l’essentiel était stocké en externe, ce qui a simplifié considérablement la procédure.

À l’arrivée, j’ai perdu une soirée et probablement encore une autre pour tout réinstaller et configurer comme c’était avant. Ça, ce n’est pas grave. En revanche, je ne sais pas exactement ce que ce malware a fait. S’il s’est contenté d’ajouter de la publicité dans Safari, je m’en fiche pas mal. S’il a analysé des semaines d’utilisation du Mac, transmis l’historique de navigation, voire mémorisé toutes les touches saisies en permanence, c’est un vrai problème. Dois-je changer tous mes mots de passe en prévention ? Heureusement, il y a 1Password, mais sur une période aussi longue, qui sait ce qui a pu se passer ?

C’est bien ça qui me gêne le plus : ne pas savoir. Et me dire que les protections de base d’Apple ne suffisent pas, puisque j’ai été infecté malgré elles. Comment éviter les logiciels malveillants à l’avenir ? Je n’ai pas de vraie solution hélas, à moins d’installer un anti-malware, mais sera-t-il vraiment efficace ? Le mieux reste les sauvegardes régulières et la surveillance constante : dès que l’on repère quelque chose de suspect, on ne se pose pas de questions, on efface et on revient en arrière.

C’est une bonne pratique, mais elle est contraignante et elle effraiera la majorité des utilisateurs. Par défaut, Flash et Java se mettent à jour automatiquement, mais il vaut mieux veiller régulièrement à ce que cela soit bien le cas. Sans compter qu’un malware malin sait se faire discret et ne pas gêner l’utilisation de l’ordinateur, ce qui rend sa détection quasiment impossible si on ne sait pas où regarder.

Les créateurs de ces scripts malveillants ont probablement un bel avenir devant eux…

Avez-vous déjà affronté un malware sur votre Mac ou sur celui d'un tiers ? C'est la question que nous vous posons dans notre dernier sondage !

---

Comment s’en protéger ?

Pour vous protéger et surtout protéger vos proches qui ne sont pas forcément aussi habiles avec un ordinateur que vous, voici quelques conseils :

• Ne pas saisir le mot de passe administrateur au hasard, voire utiliser une session standard et un mot de passe complexe et difficile à saisir ;
• Configurer GateKeeper pour n’accepter que les apps du Mac App Store et les apps signées, voire uniquement le Mac App Store ;
• Vérifier que le fichier XProtect.plist est mis à jour régulièrement : dans les Préférences Système, ouvrir le panneau « App Store », la case « Installer les fichiers de données système et les mises à jour de sécurité » doit bien être cochée ;
• Surveiller de temps en temps le moniteur d’activité :
  • Ouvrir l’application et dans le menu « Présentation », cocher « Toutes les opérations » ;
  • Dans la liste d’utilisateurs, vérifier qu’il n’y a que les comptes des sessions ouvertes, plus ceux du système :
    • root
    • _appleevents
    • _captiveagent
    • _coreaudiod
    • _displaypolicyd
    • _distnote
    • _iconservices
    • _locationd
    • _mdnsrespond
    • _netbios
    • _networkd
    • _nsurlsessiond
    • _softwareupdate
    • _spotlight
    • _usbmuxd
    • _windowserver
• Maintenir à jour tous les logiciels, en particulier Flash et Java ;
• Télécharger les logiciels sur le site de l'éditeur plutôt que sur les sites catalogue (MacUpdate, CNet télécharger, Softonic, etc.) ;
• En cas de doute, demander de l’aide : les forums de MacGeneration contiennent de nombreux sujets sur les malwares qui touchent les Mac, avec des explications à chaque fois pour s’en débarrasser.

Image de couverture : Brian Barnett (CC BY-NC-ND 2.0)