Un fichier présenté comme une mise à jour de Zoom peut cacher un outil de prise en main à distance sur Mac. Dans son rapport Smoke#Screen, la Threat Research Team de Securonix identifie un paquet macOS nommé ZoomUpdateInstaller.pkg, associé à une infrastructure employée pour plusieurs charges malveillantes Windows.
Un vrai outil d’assistance détourné
Le mécanisme repose sur ScreenConnect, le logiciel légitime d’administration à distance de ConnectWise. Plutôt que de diffuser un faux programme de contrôle, les opérateurs installent de véritables clients ScreenConnect et les configurent pour communiquer avec leurs propres serveurs relais.
D’après Securonix, l’installateur macOS contactait le même serveur relais principal que les échantillons Windows analysés dans cette opération. Une fois le client relié à cette infrastructure, ses fonctions de bureau à distance et de gestion peuvent ressembler à une intervention classique d’un service informatique, tout en donnant le contrôle de la machine à un tiers.
Zoom, Adobe et documents professionnels comme appâts
Les chercheurs ont relevé quatre scénarios d’ingénierie sociale : de fausses mises à jour de Zoom ou d’Adobe, des demandes de consultation de documents professionnels et des prétextes de maintenance du système. L’objectif est à chaque fois de faire ouvrir un fichier qui déploie ScreenConnect sans l’accord de la victime.
L’enquête a commencé avec un script Windows appelé zoom-update.vbs, puis a mené à un serveur de dépôt comprenant 15 charges, dont le paquet destiné à macOS. Parmi les autres noms utilisés figurent SystemCheck.msi et Document-review.msi. La campagne s’appuie aussi sur Dropbox pour la distribution de fichiers et sur Cloudflare Quick Tunnel pour une partie de son infrastructure.
Sur Windows, Securonix a observé plusieurs évolutions des charges : certaines cherchent à réduire les protections de Microsoft Defender et SmartScreen, tandis qu’une version attend trois minutes après l’installation avant de démarrer le service ScreenConnect. Les chercheurs y voient une manière de séparer les événements dans les journaux de détection.
Ce que ça change
Pour les utilisateurs de Mac, le point de vigilance est l’origine du fichier, pas seulement le nom de l’application qu’il imite. Un installateur Zoom reçu via un lien, un document ou une demande de support non sollicitée peut servir à installer un outil parfaitement réel, mais relié au mauvais serveur.
Cette campagne montre aussi qu’un logiciel habituellement utilisé par les équipes IT peut devenir un vecteur d’intrusion lorsqu’il est configuré par un attaquant. Avant d’ouvrir un paquet inattendu, il faut privilégier les téléchargements effectués directement depuis le site ou le canal officiel du service concerné.
À lire aussi
Source : Securonix Threat Research Team — rapport Smoke#Screen
