Chevaux de Troie et voleurs d’informations : quand vous installez vous-même l’attaquant

Le nom vient du cheval de bois de la légende grecque : un cadeau qui a fait passer des soldats par les portes de la ville. En informatique, un cheval de Troie fonctionne de la même façon. Le NIST le décrit comme un programme qui semble avoir une fonction utile mais qui en a aussi une cachée, potentiellement malveillante, qui échappe aux mécanismes de sécurité, parfois en exploitant les autorisations légitimes de la personne qui le lance. Cette dernière partie est l’idée clé. Un cheval de Troie a rarement besoin d’une effraction habile, parce que c’est vous qui lui ouvrez la porte.

Les déguisements qui marchent

Un cheval de Troie prend la forme que les gens sont le plus susceptibles d’installer sans réfléchir. Sur Mac, les mêmes déguisements reviennent sans cesse :

• Des versions piratées ou « gratuites » de logiciels coûteux : outils de design, montage vidéo, suites bureautiques, jeux.
• De fausses mises à jour : une page web affirmant que votre navigateur ou un module doit être mis à jour avant qu’une vidéo puisse se lancer.
• Des téléchargements sosies : une annonce dans les résultats de recherche pour une appli connue, qui pointe vers un site au nom presque identique.
• De fausses applis de réunion ou de discussion : un « collègue » ou un « recruteur » envoie un lien pour installer un client de visioconférence spécial.
• De faux portefeuilles crypto et outils de trading, visant les personnes qui détiennent déjà des cryptomonnaies.
• Des utilitaires à l’air pratique : nettoyeurs, convertisseurs, VPN et outils « d’accélération » de développeurs inconnus.

MITRE ATT&CK appelle cette astuce générale le « masquerading » : faire passer un fichier malveillant pour un fichier légitime, par son nom, son icône ou son emplacement. Combiné à une raison crédible de l’installer, cela suffit à tromper des personnes prudentes la plupart du temps.

Les voleurs d’informations : l’objectif le plus courant

Aujourd’hui, beaucoup de chevaux de Troie sur Mac sont des voleurs d’informations (infostealers). Une fois lancés, ils essaient de récupérer tout ce qui peut se transformer en argent ou en accès : mots de passe enregistrés dans les navigateurs, cookies de session qui vous gardent connecté, contenu du trousseau, fichiers de portefeuilles crypto, documents du Bureau et du dossier Téléchargements, et détails sur l’ordinateur. Les données volées sont empaquetées et envoyées à un serveur contrôlé par l’attaquant, souvent en quelques minutes.

Les cookies de session méritent une mention spéciale. Si un voleur copie le cookie qui vous garde connecté à une messagerie ou à un réseau social, il peut utiliser cette session sans connaître votre mot de passe et sans passer la double authentification, jusqu’à ce que la session expire ou que vous vous déconnectiez partout. C’est pourquoi, après une infection, changer ses mots de passe ne suffit pas : il faut aussi fermer toutes les sessions.

Ce que macOS fait déjà

Les protections d’Apple visent précisément ce type de menace. Gatekeeper vérifie que les applis téléchargées sur Internet sont signées par un développeur identifié et notarisées par Apple, ce qui veut dire qu’elles ont été analysées à la recherche de contenu malveillant connu avant leur distribution. XProtect reconnaît les programmes malveillants connus et peut les bloquer ou les supprimer. Apple peut aussi révoquer le certificat d’un développeur une fois l’abus découvert. Ces couches sont réelles et efficaces contre les menaces connues. Leur point faible est la force même du cheval de Troie : un utilisateur convaincu d’approuver quand même.

Les habitudes qui arrêtent la plupart des chevaux de Troie

• Téléchargez vos applis depuis le Mac App Store ou le site du développeur, tapé à la main ou ouvert depuis un signet de confiance, pas depuis une annonce dans les résultats de recherche.
• N’installez jamais de logiciel piraté. C’est le moyen le plus sûr d’installer vous-même un cheval de Troie.
• Considérez toute page qui dit qu’il vous faut une mise à jour pour regarder une vidéo comme un piège. Mettez à jour les applis depuis l’appli elle-même ou via Réglages Système.
• Méfiez-vous des liens de réunion qui exigent d’installer un client spécial inconnu, surtout de la part de nouveaux contacts.
• Lisez les avertissements de macOS. Si un installeur vous demande d’en contourner un, arrêtez-vous.
• Utilisez un gestionnaire de mots de passe et des clés d’accès quand c’est possible, pour que des mots de passe volés dans le navigateur valent moins.

Voir un cheval de Troie appeler chez lui

Un infostealer doit envoyer ce qu’il a volé quelque part. Cette connexion sortante est souvent le premier moment où il devient visible. FireAI demande avant qu’une appli se connecte pour la première fois : un « utilitaire » fraîchement installé qui essaie aussitôt de joindre un serveur inconnu produit donc une question plutôt qu’un silence. Vous pouvez refuser, voir sur la carte du monde où il essayait d’aller, et demander à l’IA qui fonctionne sur votre Mac d’expliquer la connexion. FireAI n’analyse pas les fichiers et ne supprime pas les programmes malveillants ; son rôle est de montrer et de contrôler ce qui quitte votre Mac, exactement ce dont un infostealer dépend.

Si vous pensez en avoir installé un

• Déconnectez-vous d’abord d’Internet, pour empêcher d’autres données de partir.
• Supprimez l’appli et vérifiez les éléments d’ouverture et les éléments en arrière-plan dans Réglages Système pour repérer tout ce que vous ne reconnaissez pas.
• Depuis un autre appareil de confiance, changez les mots de passe de vos comptes les plus importants : la messagerie d’abord, puis la banque et tout ce qui touche à l’argent.
• Fermez toutes les sessions de ces comptes, pour invalider les cookies volés.
• Si le Mac contenait des cryptomonnaies, transférez les fonds vers un nouveau portefeuille créé sur un appareil sain.
• Si vous n’êtes pas sûr que le Mac est sain, faites appel à un professionnel ou restaurez une sauvegarde faite avant l’infection.