MacSync : un malware signé par Apple contourne Gatekeeper et vole vos mots de passe — êtes‑vous déjà compromis ?
La découverte d’une nouvelle variante de MacSync par les chercheurs de Jamf Threat Labs rappelle que la sécurité macOS n’est plus une assurance tous risques. Longtemps présenté comme moins ciblé que Windows, l’écosystème Apple voit ses défenses contournées par des techniques d’ingénierie sociale et des malwares de plus en plus sophistiqués. MacSync, un infostealer réémergeant qui cible les données sensibles des utilisateurs, illustre parfaitement l’évolution de la menace : distribution via une application Swift signée, contournement de Gatekeeper et vol de credentials critiques.
Comment MacSync parvient à tromper Gatekeeper
Jusqu’ici, de nombreux malwares macOS étaient propagés via des ruses invitant l’utilisateur à exécuter des commandes dans le Terminal ou à accepter des installations douteuses. La nouvelle version de MacSync a affiné son mode d’opération : l’outil est désormais dissimulé dans une image DMG contenant une application Swift correctement signée par un Developer ID valide. Tant que le certificat était actif, l’application apparaissait « authentifiée » par Apple et n’était pas bloquée automatiquement par Gatekeeper, la barrière de sécurité d’Apple censée empêcher l’exécution de logiciels non vérifiés.
Une chaîne d’infection discrète et efficace
Les analystes ont mis au jour un dropper crypté à l’intérieur du DMG. Ce dropper télécharge et installe ensuite l’infostealer sur la machine de la victime. Pour minimiser les traces et échapper à la détection, les opérateurs ont multiplié les ruses : inclusion de fichiers PDF légitimes dans l’image, suppression des scripts utilisés durant l’installation, chiffrement des composants et suppression des traces sur le disque. Ces techniques montrent une volonté de se fondre dans le flux normal d’installation d’applications et d’échapper aux contrôles traditionnels.
Que fait MacSync lorsqu’il est installé ?
MacSync, réapparition et rebranding de Mac.C détecté précédemment, est un infostealer conçu pour exfiltrer un éventail de données sensibles :
Autant de données qui, une fois entre de mauvaises mains, peuvent servir à des piratages financiers, usurpations d’identité ou extorsions ciblées.
Pourquoi la signature Apple n’est plus une garantie absolue
La signature d’une application par un Developer ID et sa validation initiale par Apple confèrent une aura de confiance ; pourtant, Apple a la possibilité de révoquer un certific at détecté comme abusif — ce qui s’est produit suite à la signalisation par Jamf. Le problème est que, durant la fenêtre où le certificat est valide, la diffusion peut être massive et les dégâts rapides. De plus, certaines campagnes utilisent des comptes développeurs compromis ou des certificats obtenus par ruse, rendant la vérification ponctuelle insuffisante.
Comment se protéger : bonnes pratiques prioritaires
Que faire en cas de compromission suspectée ?
Le message pour les organisations et les utilisateurs avancés
MacSync montre que les attaquants adaptent leurs méthodes pour tirer parti de la confiance accordée aux écosystèmes fermés. Les entreprises utilisant des Mac en environnement professionnel doivent renforcer la supervision (MDM, EDR), contrôler strictement les installations et limiter les privilèges étudiants/ employé. Côté grand public, la vigilance et la prudence lors de l’installation d’applications restent les meilleures défenses. Aucune plateforme n’est invulnérable ; la sécurité repose sur une combinaison de prévention, détection et réaction efficace.
Perspectives : vers des réponses techniques et réglementaires
À plus long terme, il faudra penser des mécanismes d’attestation dynamique et d’analyse plus poussée côté client, capables de détecter les comportements malveillants même pour des applications signées. Les autorités et les plateformes devront aussi renforcer les processus de vérification des identités développeurs et accélérer la procédure de révocation des certificats compromis. Enfin, l’éducation des utilisateurs reste cruciale : comprendre que la signature d’une application n’est pas un laissez‑passer absolu permettra de réduire l’exposition aux campagnes de malwares de ce type.
