Craig Federighi, le patron du logiciel d’Apple, aurait donc bien raison, les standards de sécurité de macOS ne sont plus ce qu’ils étaient. Environ un mois après qu’Apple a corrigé deux failles zero-day qui permettaient à des attaquants de contourner la sécurité de macOS (et d’iOS), des chercheurs (en partie les mêmes) viennent de dévoiler une autre faille.
XCSSET, le malware qui n’en finit pas de malmener macOS
Ainsi, le collectif de chercheurs Jamf, qui regroupe Jaron Bradley, Ferdous Saljooki et Stuart Ashenbrenner, avance avoir trouvé des preuves qu’une nouvelle itération du malware XCSSET œuvre sur macOS.
Cette troisième faille, inconnue jusqu’à présent, permettrait à l’attaquant d’obtenir les autorisations pour accéder au micro, à la Webcam et à l’enregistrement de tout ce qui se passe à l’écran – le tout sans l’autorisation de l’utilisateur, évidemment.
Le malware pourrait également accéder à l’historique de saisie via le clavier, ce qui lui donnerait accès potentiellement à tous les mots de passe et numéros de carte de crédit utilisés pour se connecter et lors d’achats en ligne.
A découvrir aussi en vidéo :
En constante évolution
Pour mémoire, ce logiciel malveillant a été détecté, pour la première fois, en août 2020 par Trend Micro. Il visait plus particulièrement les développeurs et corrompait leurs projets Xcode d’applications, afin que ces codeurs déploient le malware en même temps que leur programme via l’App Store.
Il permettait également de voler tous les cookies de navigation de Safari pour accéder aux comptes en ligne des utilisateurs et espionner leurs habitudes en ligne. Selon les experts en sécurité, XCSSET est toujours en cours de développement et d’amélioration, et vise désormais aussi les Mac équipés d’une puce M1.
Apple confirme que la nouvelle version de macOS, 11.4, corrige le bug qui sous-entend cette attaque. Cette mise à jour est disponible depuis hier soir, il est vivement conseillé de l’installer.
Source : Blog de Jamf via TecCrunch
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
