Les virus sont à nos portes. Que dis-je, à nos portes ? Ils sont déjà en train de passer par le trou de la serrure !

L'art de tromper le Finder et les iApps

Il est assez facile de leurrer le Finder de le lui faire prendre des vessies pour des lanternes.

Un fichier destiné au terminal mais portant une autre extension (jpeg par exemple) ne sera pas correctement identifié par le Finder. Celui-ci affichera alors l'icône générique d'un jpeg. À moins de demander systématiquement à "lire les informations", il n'y a pas moyen, à ce jour, de déceler l'arnaque. Quand l'utilisateur demande l'ouverture du fichier jpeg trafiqué, ce n'est pas Aperçu qui se lance mais le Terminal. Qui exécute alors le code malveillant dans le cadre des droits de l'utilisateur.

Plus embêtant encore, un certain nombre d'iApps décompressent un certain nombre des fichiers et les ouvrent, le tout automatiquement. Safari, pour ne pas le nommer, le fait par défaut. Mail est également touché. Un jpeg trafiqué sera ouvert par ces applications sans alerter l'utilisateur. Certes, depuis la version 10.4 d'OS X, les téléchargements sont accompagnés d'une question sur la sécurité. Mais de l'autre côté, certains fichiers, comme les jpeg, sont considérés - par défaut - comme fiables. Alors, qui va s'inquiéter alors que l'apparente sécurité a augmenté ? Il y a là un véritable tunnel où peuvent s'engouffrer de bien vilaines petites bêtes…

Plutôt que de détailler le comment, voici une preuve (sans danger). Téléchargez donc cette image compressée  preuve.jpg.zip. Si vous avez Safari réglé normalement, vous n'avez plus rien à faire : vous êtes déjà infecté… Si vous n'utilisez pas Safari ou que vous avez désactivé la préférence "Ouvrir automatiquement les fichiers fiables", vous devrez ouvrir l'image "preuve.jpg" que vous venez de télécharger.

Vous n'avez rien vu ? Maintenant, regardez donc à la racine de votre dossier personnel (dans le Finder, faites Pomme + n). Vous y verrez un nouveau fichier intitulé "virus_faux". Rassurez-vous, c'est un fichier totalement vide qui n'a aucun effet. Mais vous imaginez sans peine que si j'ai pu écrire dans votre disque, j'aurai pu faire bien d'autres choses…

Il est certain qu'une prochaine mise à jour atténuera ce danger, en particulier en revoyant cette notion très discutable de "fichier fiable". Mais il est également très probable que ce type d'escroquerie logicielle continuera. La façon dont le Finder affiche les icônes correspondants aux fichiers est en effet complexe et sujette à bien des manipulations malveillantes.

Virus : une preuve de concept en circulation

Vous me direz que cette "preuve.jpg" n'est pas un virus mais de l'ingénierie sociale avec exploitation de failles. Que cela sera corrigé (au moins en partie) dès la prochaine mise à jour d'Apple. C'est très probable. Le problème, c'est que c'est un moyen facile de faire entrer un fichier malveillant dans nos machines. Or, une fois entré, un fichier malveillant peut devenir un virus. La preuve d'un tel virus vient d'être publiée.

Au départ, on a cru à un véritable virus. D'où un début de panique suivi d'un grand ouf de soulagement quand il est apparu que ce virus n'était pas dangereux et qu'il comportait même certaines erreurs de programmation. Si l'on suit attentivement l'historique de cette histoire, la première version de ce virus (plus exactement, c'est un cheval de Troie) est apparue sur un Web Board consacré au piratage. Sous le nom de "latestpics.tgz", le fichier est ensuite arrivé anonymement sur le site de Mac Rumors et une analyse détaillée a été publiée par Andrew Welch sur le Web Board d'Ambrosia, qui l'a baptisé Oomp-A.

Bien qu'il ne soit pas vraiment dangereux, Oomp-A, également connu sous le nom de Leap.A, a tous les attributs d'une sale bête. Voici ce qu'il fait :

1. il crée une réplique de lui-même pour expédition ultérieure,
2. il crée un outil lui permettant d'infecter vos applications,
3. Il infecte les quatre dernières applications que vous avez lancé,
4. Au lancement d'une application infectée, il envoie sa réplique, via iChat, à vos contacts Bonjour! (ou Rendezvous).

Il faut également noter que son auteur a essayé (sans aboutir) de le faire circuler via le courrier électronique, et qu'un bug de programmation l'empêche d'être vraiment dangereux.

Pas dangereux ? Certes. Mais l'utilisation d'un InputManager pour infecter les applications de l'utilisateur est plus qu'inquiétante. Parce qu'il ne faut plus grand chose pour qu'un vrai virus voit le jour. Un crétin sachant brasser du code suffit. Les crétins, ce n'est pas vraiment ce qui manque. Et la réputation d'OS X de système d'exploitation exempt de tout virus ne peut qu'attiser les fantasmes des crétins.

Or Oomp-A n'est pas le premier. On a déjà eu Inqtana-A et B, un ver Bluetooth qui s'en prenait aux versions précédentes de Tiger (lui aussi était une preuve de concept). Alors, un véritable virus/malware pour Mac, si ce n'est pas le prochain, ce sera le suivant. En tout cas, c'est pour demain.

La preuve est faite, il faut prendre des mesures

1. Contre l'ingénierie sociale, il n'y a que le bon sens (difficile, je sais). Rappelons-en la règle de base : n'ouvrez pas un fichier de provenance incertaine. Même si c'est une image d'Angelina Jolie nue. Ou de Brad Pitt, Mesdames !

2. N'oubliez pas les règles de base :
   
   • Activez votre Firewall intégré (Préférences, Partage, volet Coupe feu) et n'ouvrez que le nécessaire.
   • N'activez que les liaisons nécessaires (Ethernet, AirPort, Bluetooth).
   • Ne mettez pas un CD/DVD contenant le dernier jeu piraté par le petit neveu de 14 ans dans votre lecteur.
   Bref, ne laissez pas n'importe quoi rentrer dans votre ordinateur…

3. Ne tapez pas votre mot de passe si vous ne savez pas pourquoi l'ordinateur vous le demande (autrement dit, hors installation de logiciel). Est-ce que vous donnez le code de votre carte bancaire au téléphone, même si on vous dit que c'est la Police ?

4. Pour boucher les failles d'OS X, courrez aux préférences de Safari et, dans les préférences générales, désactivez l'ouverture automatique des fichiers "fiables". Ce n'est pas assez, mais pour le reste, vous devrez attende une mise à jour des iApps et du Terminal.
    
   Pour les plus paranos d'entre vous, des solutions modifiant l'emplacement du Terminal, son nom ou son mode d'accès ont été publiées. Ce sont des bidouilles difficiles d'accès pour le grand public et qui peuvent introduire un faux sentiment de sécurité, je vous laisse donc le soin de les chercher et de les évaluer vous-même.

5. Appliquez le bon vieux principe machiavélien de diviser pour régner. Ne vous cantonnez pas aux iApps. Plutôt que d'utiliser Safari, passez à Firefox. Ou Camino (qui vient de sortir). Ou un autre. Utilisez un autre client de messagerie que Mail, comme  Eudora par exemple. Pour la messagerie instantanée, changez également.
    
   Bien sûr que c'est pratique et confortable de se contenter des logiciels intégrés au système d'exploitation. Il y a plus d'automatismes, plus de confort. Mais si c'est vrai pour les utilisateurs, cela l'est aussi pour les auteurs de virus. Il est plus facile d'écrire un virus visant le Finder, Safari et Mail que de prévoir des cas du type Finder/Musashi/Thunderbird. Alors changez !

6. Comme tout administrateur système digne de ce nom, séparez votre usage de l'ordinateur de son administration. Si ce n'est déjà fait, créez un compte d'administrateur (avec un mot de passe digne de ce nom s'il vous plait !). Puis ouvrez une session avec ce compte et, depuis cette session, retirez à votre compte courant les privilèges d'administration. C'est depuis ce compte d'administrateur, et uniquement celui-là, que vous gérerez votre ordinateur et installerez des logiciels. Pour votre utilisation courante de l'ordinateur, travaillez dans votre session utilisateur uniquement.
    
   C'est sûrement une contrainte, mais c'est également un moyen très fiable d'éviter qu'un code malicieux n'ait trop de privilèges.

7. Achetez un logiciel anti-viral. Ce n'était pas nécessaire jusqu'à présent, mais cela le devient vraiment. Le temps du Mac à l'abri des virus, c'est fini. Bon, ne paniquez pas non plus et n'achetez pas n'importe quoi ! Tout le monde s'est senti à l'abri, y compris les éditeurs d'anti-virus. Alors le réveil est douloureux et certains réagissent trop fort, comme Sophos qui, au moment où j'écris ces lignes, a un anti-virus qui annonce des dizaines de fichiers infectés par Inqtana-B dans les machines de ses clients ! Donc, prenez votre temps de regarder les offres et de lire les tests avant d'acheter.
    
   Et surtout, n'oubliez pas de mettre à jour régulièrement les définitions virales de votre anti-virus. Celui-ci ne peut combattre que ce qui lui a été indiqué. Des nouveaux virus apparaissent tous les jours, il a donc besoin d'être tenu au courant.

8. Last, but not least, faites des sauvegardes. Il y a d'excellents logiciels qui font cela très bien, certains sont même gratuits…
    
   Vous pouvez aussi le faire vous-même, du moins pour tous vos documents, si vous avez séparé votre compte utilisateur de votre compte administrateur comme suggéré plus haut. Fermez votre session utilisateur, ouvrez une session administrateur et copiez votre dossier utilisateur sur un CD/DVD, un disque dur externe ou une autre partition. Si l'ordinateur vous demande un nom d'administrateur et un mot de passe, donnez-les sans crainte, c'est la preuve de son bon fonctionnement.

Tout ceci ne vous mettra pas totalement à l'abri d'une infection, mais si vous faites des sauvegardes régulièrment, vous pourrez au moins guérir d'une infection sans trop de pertes. Même si tous vos dossiers sont effacés par une saloperie agressive, vous pourrez au moins repartir depuis votre sauvegarde. Vous comprenez pourquoi j'insite sur l'importance des sauvegardes ?

Bonne santé à tous.

Sources :

Les failles dans le Finder et Safari :

Dans Mail :

L'analyse de Oomp-A :

Inqtana-A et B, et les faux positifs de Sophos :

Merci également à MacInTouch, Macworld, macosxhints et bien d'autres. Et surtout, un grand merci à MacBidouille, où j'ai vu la première alerte.