L'installateur Zoom vous a demandé votre mot de passe. Le vrai ne le fait jamais.
Un fichier arrive, il s'appelle Zoom. Vous êtes sur le point de rejoindre une réunion, vous l'ouvrez, vous suivez les étapes, et à mi-parcours une fenêtre apparaît et vous demande de saisir votre mot de passe pour autoriser l'opération. Vous le tapez. Toute l'attaque est là.
Jamf Threat Labs a publié les détails le 30 septembre. Le logiciel malveillant s'appelle CloudSyncD, il vise les Mac, et le premier échantillon est apparu le 15 septembre, encore à moitié terminé ; deux jours plus tard, ceux qui sont derrière avaient basculé sur des serveurs actifs. Le mot de passe que vous saisissez est vérifié face à votre véritable compte, puis enterré dans un faux fichier de configuration Zoom, avec 48 caractères Unicode invisibles qui indiquent où il se cache. L'installateur s'en sert pour lancer une porte dérobée avec les droits d'administrateur. Cette porte dérobée appelle ensuite son serveur toutes les 8 à 16 secondes et attend qu'on lui dise quoi faire.
Ce qui rend l'affaire intéressante sur un site consacré à Windows, c'est l'appât plutôt que le code. Installez Zoom pour rejoindre la réunion est un classique des faux recruteurs et des faux clients, et la version Windows, c'est la même soirée avec un autre nom de fichier. Ces dernières semaines, nous avons parlé d'un faux installateur Spotify et d'une application de paie qui n'a jamais existé. La conclusion de Jamf est sans détour : malgré toute l'ingénierie, l'attaque repose encore sur la plus vieille technique qui soit, convaincre quelqu'un de livrer son mot de passe.
Considérez une demande inattendue de mot de passe pendant un téléchargement comme le moment de tout arrêter. Les installateurs de Zoom, de Teams ou de n'importe quoi d'autre viennent du site de l'éditeur, et si c'est un inconnu qui vous a envoyé le lien, la réunion peut attendre dix minutes. Si vous ne savez pas trop ce qu'un téléchargement récent a laissé derrière lui, le contrôle de sécurité de Tendvane pour les logiciels indésirables vous montrera ce qui est désormais programmé pour s'exécuter sur votre PC.