OVH Cloud OVH Cloud

[ANN] le premier virus MacOS X!

222 réponses
Avatar
listes
Bonsoir,

ci-après un copier-coller (en anglais) du communiqué d'Intego répercuté
sur MacBidouille.

En résumé, un virus pour Mac circule sous la forme d'un fichier avec
l'extension .mp3
Il s'exécute uniquement si on l'ouvre en double-cliquant dessus.

Faut-il y voir un lien avec une enfilade très récente sur
news://fr.comp.os.mac-os.x?

INTEGO SECURITY ALERT

Intego Announces Protection against the First Mac OS X Trojan Horse:
MP3Concept



Paris, France: 4:15pm, April 8, 2004 - Intego, the Macintosh security
specialist, has just released updated virus definitions for Intego
VirusBarrier to protect Mac users against the first Trojan horse that
affects Mac OS X. This Trojan horse, MP3Concept (MP3Virus.Gen),
exploits a weakness in Mac OS X where applications can appear to be
other types of files.

The Trojan horse's code is encapsulated in the ID3 tag of an MP3
(digital music) file. This code is in reality a hidden application that
can run on any Macintosh computer running Mac OS X.

Mac OS X displays the icon of the MP3 file, with an .mp3 extension,
rather than showing the file as an application, leading users to believe
that they can double-click the file to listen to it. But double clicking
the file launches the hidden code, which can damage or delete files on
computers running Mac OS X, then iTunes to play the music contained in
the file, to make users think that it is really an MP3 file . While the
first versions of this Trojan horse that Intego has isolated are benign,
this technique opens the door to more serious risks.


This Trojan horse has the potential to do any of the following:
- Delete all of a user's personal files
- Send an e-mail message containing a copy of itself to other users
- Infect other MP3, JPEG, GIF or QuickTime files

Due to the use of this technique, users can no longer safely
double-click MP3 files in Mac OS X. This same technique could be used
with JPEG and GIF files, though no such cases of infected graphic files
have yet been seen.

Intego VirusBarrier eradicates this Trojan horse, and Intego remains
diligent to ensure that VirusBarrier will also eradicate any future
viruses that may try to exploit this same technique. All Intego
VirusBarrier users should make sure that their virus definitions are up
to date by using the NetUpdate preference pane in the Mac OS X System
Preferences.


--
Olivier Goldberg, étudiant, macmaniaque, plongeur CMAS ***
Pour le courrier personnel, remplacer dans le From: listes par olivier
AIM/iChat: Nept47

10 réponses

Avatar
laurent.pertois
Fra wrote:

Et oui Apple a bien fait les choses.
Apple 1 point
Intego 0 poin


Quel est le rapport avec Intego ?

--
Politically Correct Unix - UTILITIES
The "touch" command has been removed from the standard distribution due
to its inappropriate use by high-level managers.

Avatar
benoit.sansspam
Éric Lévénez wrote:

Il n'y a pas que les exécutables, mais tous les scripts de toutes natures ou
tout document qui peut indirectement exécuter des actions.


Pour moi un script qui ne nécessite pas d'action de l'utilisateur (la
version non-text-only) est un exécutable de plus il doit bien avoir une
extension particulière afin que le système sache le lancer et non
l'ouvrir avec BBEdit, non ?

Sinon je suis d'accord avec toi en ce qui concerne les icones. Même si
j'aimais bien avoir des icones personnalisées en ce qui concerne les jpg
& Co cela ne m'est plus utile car j'ai la preview en mode colonnes.

--
Benoît Leraillez

La douleur des autres est tout à fait supportable, hors les cris.

Avatar
Éric Lévénez
Le 10/04/04 22:50, dans
<1gc1tdg.kal5h0a56zosN%, « Benoit »
a écrit :

Éric Lévénez wrote:

Il n'y a pas que les exécutables, mais tous les scripts de toutes natures ou
tout document qui peut indirectement exécuter des actions.


Pour moi un script qui ne nécessite pas d'action de l'utilisateur (la
version non-text-only) est un exécutable de plus il doit bien avoir une
extension particulière afin que le système sache le lancer et non
l'ouvrir avec BBEdit, non ?


BBEdit ? Quel rapport avec la choucroute ?

Normalement un script a une extension connue (genre .command ou .tool), sauf
dans le cas où il n'en a pas (bit x unix). De plus si Apple a suivi dans sa
logique, il y a possibilité d'associer un type/créateur aux extensions
connues.

Sinon je suis d'accord avec toi en ce qui concerne les icones. Même si
j'aimais bien avoir des icones personnalisées en ce qui concerne les jpg
& Co cela ne m'est plus utile car j'ai la preview en mode colonnes.


--
Éric Lévénez -- <http://www.levenez.com>
Unix is not only an OS, it's a way of life.


Avatar
jeromelebel
Éric Lévénez wrote:

Soir tu parles des trucs du genre /rsrc


je pense effectivement a rsrc. Ben non, ca pose aucun probleme, non ?

Avatar
Julien Jalon
Éric Lévénez wrote:
Le 9/04/04 23:25, dans , « Julien
Jalon » a écrit :
piège où tu t'es rué. Tu penses qu'un point dans un nom de fichier ne peut
être suivie que par une suite de caractère invalide du point de vue des
extensions connues. C'est faux bien sûr. Et cela sans même parler du fait
que le virus lui-même peut définir ce qu'il veut comme extension pour ses
documents.


J'ai pris l'heuristique la plus simple... il est clair que le vrai
problème n'est pas l'extension, mais l'application même. Tu veux faire
un virus rigolo avec NeXTStep ? Tu crées une application qui
ouvre les fichiers ".mp3 ", tu le mets dans .tgz avec un joli fichier
"dernier_madonna.mp3 "... et on peut s'amuser de la même façon (c'est
une version simple, on peut élaborer encore un peu plus pour être encore
un peu plus 'stealth').

C'est aussi un problème que NeXT avait résolu en interdisant les icônes
personnifiées sur les documents. Les icônes ne pouvant venir que des
applications. Mais pour faire plaisir aux macounets, la gestion des icônes a
été changée et on voit les problèmes aujourd'hui avec ce cheval de Troie.


1) Va sur NeXTStep, crée une application avec comme icône un fichier
MP3, il y aura beau avoir le .app à la fin, tu as autant de chance de
blouser un utilisateur blousable.
2) Mon cher Eric, j'aime, j'adore NeXTStep au moins autant, voire plus
que toi. J'y suis même lié d'une certaine manière encore plus que toi
;-) mais là... "NeXTStep interdisant les icônes personnifiées"... quel
erreur historique... NeXTStep n'interdisait pas, NeXTStep ne pouvait
simplement pas sans une implémentation bancale. Et quand bien même,
la personnalisation des icônes n'est pas qu'une lubie de old timer
Macqueux (et je n'en suis pas un)... tu as une démarche de vieux geek
psycho-rigide : restons dans la pré-histoire parce que le futur va
soulever des problèmes qu'il va falloir résoudre.

--
Julien Jalon <http://www.julien-jalon.org/>
Ce que contient ce message n'exprime que mon opinion et non celle de
mon employeur.

Avatar
Éric Lévénez
Le 11/04/04 2:12, dans , « Julien
Jalon » a écrit :

1) Va sur NeXTStep, crée une application avec comme icône un fichier
MP3, il y aura beau avoir le .app à la fin, tu as autant de chance de
blouser un utilisateur blousable.


Comme il y aura .app, l'utilisateur saura que c'est une application de façon
claire.

--
Éric Lévénez -- <http://www.levenez.com>
Unix is not only an OS, it's a way of life.

Avatar
Éric Lévénez
Le 11/04/04 0:54, dans <1gc1znr.mmt0ee1gh3j40N%,
« Jérôme Lebel » a écrit :

Éric Lévénez wrote:

Soir tu parles des trucs du genre /rsrc


je pense effectivement a rsrc. Ben non, ca pose aucun probleme, non ?


Si, on ne peut pas restaurer cela sur un disque UFS, par exemple, sauf si la
commande unix interprète la partie ressource.

--
Éric Lévénez -- <http://www.levenez.com>
Unix is not only an OS, it's a way of life.


Avatar
jalon
Éric Lévénez wrote:
Le 11/04/04 2:12, dans , « Julien
Jalon » a écrit :

1) Va sur NeXTStep, crée une application avec comme icône un fichier
MP3, il y aura beau avoir le .app à la fin, tu as autant de chance de
blouser un utilisateur blousable.


Comme il y aura .app, l'utilisateur saura que c'est une application de façon
claire.


La question est donc : est-ce que l'icône est suffisante pour tromper
l'utilisateur... certains semblent répondre que oui.
Et tu ne réponds pas à mon 2ème exemple de virus... NeXTStep est aussi
vulnérable que MacOS X.

--
Julien Jalon <http://www.julien-jalon.org/>
Ce que contient ce message n'exprime que mon opinion et non celle de
mon employeur.


Avatar
Éric Lévénez
Le 11/04/04 17:12, dans , « Julien
Jalon » a écrit :

Éric Lévénez wrote:
Le 11/04/04 2:12, dans , « Julien
Jalon » a écrit :

1) Va sur NeXTStep, crée une application avec comme icône un fichier
MP3, il y aura beau avoir le .app à la fin, tu as autant de chance de
blouser un utilisateur blousable.


Comme il y aura .app, l'utilisateur saura que c'est une application de façon
claire.


La question est donc : est-ce que l'icône est suffisante pour tromper
l'utilisateur... certains semblent répondre que oui.


Beaucoup pensent que non. Pour indiquer qu'un fichier est un programme, il
faut soit modifier l'icône ou sa représentation (comme la flèche des alias)
soit l'indiquer dans son nom (extension du nom ou police d'affichage).

Le Finder actuel a 3 modes d'affichages, et le nom est présent dans ces 3
modes, pas l'icône. Il est donc judicieux d'utiliser le nom pour indiquer le
type de fichier.

Et tu ne réponds pas à mon 2ème exemple de virus... NeXTStep est aussi
vulnérable que MacOS X.


Qui a parlé de virus ? On parle de chevaux de Troie. Tout système est
vulnérable car il fait appelle aux faiblesses des utilisateurs ("Cliquez
moi!"). Ton exemple était très mauvais et c'est pour cela que je ne l'ai pas
commenté, tout comme tes critiques sur les icônes personnifiés. Tu sembles
penser que si NeXT ne les a pas adoptées c'est pour un problème technique.
Je ne pense pas.

--
Éric Lévénez -- <http://www.levenez.com/>
Unix is not only an OS, it's a way of life.



Avatar
jalon
Éric Lévénez wrote:
Qui a parlé de virus ? On parle de chevaux de Troie.
Il est pourtant pas mal mon cheval de troie... un fichier complètement

anodin... même pas une application... qui de par sa nature même lance
l'application.

Tout système est
vulnérable car il fait appelle aux faiblesses des utilisateurs ("Cliquez
moi!"). Ton exemple était très mauvais et c'est pour cela que je ne l'ai pas
commenté, tout comme tes critiques sur les icônes personnifiés.


Pourquoi est-il très mauvais ?

Tu sembles
penser que si NeXT ne les a pas adoptées c'est pour un problème technique.
Je ne pense pas.


Je ne pense pas : je sais.

--
Julien Jalon <http://www.julien-jalon.org/>
Ce que contient ce message n'exprime que mon opinion et non celle de
mon employeur.