Le malware Reaper détournant Script Editor pour vider les portefeuilles crypto sur macOS
- Reaper est un infostealer macOS se propageant via des pages de téléchargement frauduleuses pour WeChat et Miro.
- Le malware cible les portefeuilles cryptos tels que Ledger, Trezor et Exodus, les mots de passe des navigateurs et les documents sensibles.
- Il s'agit de la troisième campagne en moins de deux mois utilisant cette variante automatisée de ClickFix contre les utilisateurs de Mac.
Un nouveau type de malware Mac appelé Reaper se propage via de fausses pages de téléchargement pour des applications comme WeChat et Miro. Une fois installé, il vole les données des portefeuilles crypto et les mots de passe de navigateur enregistrés.
Il s'agit d'une version plus intelligente d'une ancienne astuce qui trompait autrefois les gens en les incitant à coller des commandes malveillantes dans Terminal. Apple a corrigé cette faille dans une récente mise à jour de macOS, mais Reaper a trouvé un moyen de la contourner, en utilisant un autre outil intégré d'Apple pour causer les mêmes dégâts.
Script Editor remplace Terminal comme surface d'attaque du malware
Les sites de téléchargement fictifs déclenchent Script Editor via un AppleScript applescript:// URL.
Le code malveillant est invisible. Les attaquants le cachent en utilisant de l'art ASCII et des espaces blancs. Si un utilisateur clique sur le bouton lecture dans Script Editor, il exécute inconsciemment des commandes cachées.
Script Editor est préinstallé sur chaque ordinateur Mac. La plupart des gens n'associent pas cela aux virus.
Les domaines typosquatés et les fausses mises à jour Apple renforcent la confiance
L'attaque commence sur de faux domaines qui semblent légitimes aux victimes potentielles. Les chercheurs en sécurité ont découvert une infrastructure hébergée sur des domaines Microsoft typosquatés, y compris mlcrosoft[.]co[.]com.
Une fois le script exécuté, une fausse boîte de dialogue de mise à jour de sécurité Apple invite la victime à entrer son mot de passe d'ordinateur.
Reaper vérifie ensuite la disposition du clavier du système. Si le clavier est configuré pour la langue russe, le malware s'arrête. Sinon, le malware active un module de vol de données basé sur l'Atomic macOS Stealer (AMOS).
Les portefeuilles crypto, les navigateurs et les documents sont toutes des cibles
Reaper vise les applications de crypto de bureau, y compris Ledger Live, Trezor Suite et Exodus. Le malware modifie le code interne des portefeuilles crypto pour intercepter les transactions futures et rediriger les fonds.
Le voleur récupère également les identifiants enregistrés depuis Chrome, Firefox et Edge. Il extrait des données depuis des extensions de navigateur comme 1Password et MetaMask également.
Les fichiers avec .docx, .pdf, .xlsx, .wallet, et .keys extensions trouvés dans les dossiers Bureau et Documents sont compressés en chunks ZIP de 70 Mo et téléchargés sur un serveur de commande et de contrôle externe.
Pour une attaque persistante, Reaper installe une porte déguisée en tant que répertoire de mise à jour de logiciel Google.
Reaper est la troisième campagne en environ deux mois à adopter cette approche AppleScript automatisée, selon l'analyse de Moonlock.
L'équipe de recherche en sécurité de Microsoft Defender a documenté un ensemble de campagnes connexes impliquant de faux guides de dépannage macOS publiés sur Medium, Craft et Squarespace, que Cryptopolitan avait précédemment rapporté.
Ces campagnes ont utilisé la même approche ClickFix pour livrer AMOS, Macsync et SHub Stealer via des commandes Terminal. De véritables applications de portefeuille ont été supprimées et silencieusement remplacées par des versions malveillantes, selon Cryptopolitan.
Vérifiez deux fois les liens de téléchargement avant d'installer quoi que ce soit. Si une fenêtre contextuelle demande inopinément votre mot de passe Mac, ne le saisissez pas. Un bon outil de sécurité détectera les scripts obscurcis avant qu'ils ne causent des dommages. Si un site web vous dit d'ouvrir Script Editor, fermez l'onglet.
Les esprits les plus brillants du secteur crypto lisent déjà notre newsletter. Vous aussi ? Rejoignez-les.
FAQ
Qu'est-ce que le malware Reaper pour macOS ?
Reaper est une variante mise à jour du SHub Stealer qui utilise l'éditeur de scripts d'Apple pour exécuter du code malveillant caché. Il recherche des portefeuilles cryptos, des identifiants de navigateur et des documents personnels.
Quels portefeuilles cryptographiques Reaper cible-t-il ?
Reaper cible les applications de bureau Ledger Live, Trezor Suite et Exodus, ainsi que les extensions de navigateur comme MetaMask et 1Password.
Comment Reaper contourne-t-il les protections du Terminal macOS d'Apple ?
Reaper contourne Terminal et utilise un schéma d'URL pour ouvrir l'éditeur de scripts. Le code malveillant est dissimulé sous l'écran visible grâce à des espaces blancs, et les victimes l'exécutent sans le savoir en cliquant sur lecture.
Randa Moses
Randa Moses est rédactrice et journaliste chez Cryptopolitan, couvrant la technologie, l'IA, la robotique, la crypto, les arnaques et les piratages. Elle évolue dans l'espace crypto depuis 2017. Elle a occupé des postes chez Forward Protocol, AmaZix et Cryptosomniac. Randa détient un diplôme en génie électrique et électronique de l'Université de Bradford.
