Twitter iPhone pliant OnePlus 11 PS5 Disney+ Orange Livebox Windows 11

[ANN] le premier virus MacOS X!

222 réponses
Avatar
listes
Bonsoir,

ci-après un copier-coller (en anglais) du communiqué d'Intego répercuté
sur MacBidouille.

En résumé, un virus pour Mac circule sous la forme d'un fichier avec
l'extension .mp3
Il s'exécute uniquement si on l'ouvre en double-cliquant dessus.

Faut-il y voir un lien avec une enfilade très récente sur
news://fr.comp.os.mac-os.x?

INTEGO SECURITY ALERT

Intego Announces Protection against the First Mac OS X Trojan Horse:
MP3Concept



Paris, France: 4:15pm, April 8, 2004 - Intego, the Macintosh security
specialist, has just released updated virus definitions for Intego
VirusBarrier to protect Mac users against the first Trojan horse that
affects Mac OS X. This Trojan horse, MP3Concept (MP3Virus.Gen),
exploits a weakness in Mac OS X where applications can appear to be
other types of files.

The Trojan horse's code is encapsulated in the ID3 tag of an MP3
(digital music) file. This code is in reality a hidden application that
can run on any Macintosh computer running Mac OS X.

Mac OS X displays the icon of the MP3 file, with an .mp3 extension,
rather than showing the file as an application, leading users to believe
that they can double-click the file to listen to it. But double clicking
the file launches the hidden code, which can damage or delete files on
computers running Mac OS X, then iTunes to play the music contained in
the file, to make users think that it is really an MP3 file . While the
first versions of this Trojan horse that Intego has isolated are benign,
this technique opens the door to more serious risks.


This Trojan horse has the potential to do any of the following:
- Delete all of a user's personal files
- Send an e-mail message containing a copy of itself to other users
- Infect other MP3, JPEG, GIF or QuickTime files

Due to the use of this technique, users can no longer safely
double-click MP3 files in Mac OS X. This same technique could be used
with JPEG and GIF files, though no such cases of infected graphic files
have yet been seen.

Intego VirusBarrier eradicates this Trojan horse, and Intego remains
diligent to ensure that VirusBarrier will also eradicate any future
viruses that may try to exploit this same technique. All Intego
VirusBarrier users should make sure that their virus definitions are up
to date by using the NetUpdate preference pane in the Mac OS X System
Preferences.


--
Olivier Goldberg, étudiant, macmaniaque, plongeur CMAS ***
Pour le courrier personnel, remplacer dans le From: listes par olivier
AIM/iChat: Nept47

10 réponses

Avatar
jalon
Éric Lévénez wrote:
Pour finir, le communiqué d'Intego semble mentionner que c'est dans un
tag ID3 que le truc se loge... ça m'étonne un peu. Donc soit c'est
n'importe quoi, soit c'est juste un bug de iTunes.


Non, c'est un problème avec les types/créateur/extension. Sans les
types/créateurs et avec l'obligation d'utiliser et de voir les extensions,
cela ne serait pas possible.



Tu veux dire "avec l'obligation d'utiliser les extensions". Le fait de
les voir ou pas, ça n'a aucun intérêt.


--
Julien Jalon <http://www.julien-jalon.org/>
Ce que contient ce message n'exprime que mon opinion et non celle de
mon employeur.


Avatar
jalon
JP wrote:
Éric Lévénez wrote:

Ne pas cacher l'extension, ne plus utiliser les types/créateurs et ne pas
permettre d'icône sur autre chose qu'une application. Avec cela, une
application sera repérable par son extension .app, même si elle a une icône
MP3


Absolument. On de devrait pas pouvoir tricher sur l'extension, c'est un
moyen simple et immédiat de savoir à quoi on a affaire. Cette
possibilité de tricher sur les extensions dans Mac OS X peut rendre les
Macs encore plus vulnérables aux virus que les PC. Il est urgent d'y
remédier, car ce virus ne sera certainement pas le dernier.


Rah.... vous vous focalisez sur ce problème d'extension cachée ou non
alors que ça n'est absolument pas le problème ici. De par sa façon
d'implémenter le système de cachage d'extension, Apple est bien
moins vulnérable que Windows qui n'a que le tout ou rien.

Petit scénario sur les 2 plateformes (avec masquage d'extensions
activées), que vous pouvez tester :
1) envoyer un fichier toto.mp3.tiff par mail
2) le mac affiche toto.mp3.tiff, même déposé sur le bureau
car ce fichier en particulier n'a pas sa propriété "masquer l'extension"
(cette propriété n'est pas transmise par mail, ftp, http...)
3) le PC/Windows affiche toto.mp3 parce que, comme tous les fichiers du
file-système, le PC cache les extensions.

Bien-sûr, Apple doit adapter 2 choses :
1) le masquage de .app ne doit pas être automatique et obligatoire
2) les launch services ne doivent pas permettre l'ouverture automatique
d'un fichier à double extensions connu.

--
Julien Jalon <http://www.julien-jalon.org/>
Ce que contient ce message n'exprime que mon opinion et non celle de
mon employeur.


Avatar
jalon
Jean Prudhomme wrote:
Dans son message envoyé le 09/04/2004 11:22, patpro ~ patrick proniewski
, écrivait ...

y'a de grandes chances qu'il soit transmis par mail, car il a besoin
d'etre encodé en macbinary (par exemple) pour rester fonctionnel.


Questions subsidiaires:

Si je place ce fichier litigieux dans mon Partage Web personnel activé et
que ledit fichier est téléchargé par un Mac User, sera-t-il encore
fonctionnel à l'arrivée (le fichier) ?


Non, si tu ne lui fais pas subir un traitement avant (le mettre dans une
archive). Le fichier devient totallement inopérant.
Faire un cp dans le terminal suffit à rendre le virus inopérant.

Idem si je le place sur mon iDisk à .Mac ?


Le problème n'est pas où tu le mets mais surtout comment la personne va
récupérer le fichier... si elle y accède par le Finder, oui, elle aura
le problème, si elle accède à ton iDisk avec un vulgaire "browser"
WebDAV ou carrément un navigateur Web, non, elle n'aura pas le problème.

--
Julien Jalon <http://www.julien-jalon.org/>
Ce que contient ce message n'exprime que mon opinion et non celle de
mon employeur.


Avatar
listes
Julien Jalon wrote:

Tu veux dire "avec l'obligation d'utiliser les extensions". Le fait de
les voir ou pas, ça n'a aucun intérêt.


Ben si. Si tu ne vois pas l'extension, tu peux aisément prendre un
fichier musique_de_film.app pour de la musique. Pire si il s'appelle
musique.mp3.app, vu que là, on verra le /mp3, ce qui ne fera tiquer que
les utilisateurs-pas-lambda, les autres se disant "ah, un MP3".

--
Olivier Goldberg, étudiant, macmaniaque, plongeur CMAS ***
Pour le courrier personnel, remplacer dans le From: listes par olivier
AIM/iChat: Nept47

Avatar
phpinfo
Fra wrote:

Soit INTEGO lis fcomx et prend les devant sur ce problème; soit un petit
malin ayant lus cette enfilade a cru bon de créer la chose mais en
quelques jours que ce soit crées et que INTEGO le repère montre soit
leur grande réactivité, soit...


soit que ce virus n'existe pas et qu'Intego se fait un gros coup de pub
à l'esbrouffe.


C'est une possibilité en effet, pour l'instant aucun relai officiel de
ce cheval de troie, ni chez les concurrents de Intego (Network
associate, Norton et autres), ni chez Apple/Security.

[...]
(parceque franchement pour le moment un antivirus pour mac ça me fait
rigoler).


Faut pas trop "fanfaronner" la dessus non plus, MacOS X ou pas n'empêche
en rien l'apparition d'un virus, c'est juste de "faible marché" qui fait
que MacOSX et relativement à l'abri à ce jour. Mais demain matin un
virus très virulent peut très bien faire son apparition dans notre monde
et ça arrivera tot ou tard.
Perso, je prefère prevenir que guérir.
Au boulot j'use d'anti-virus sur notre parc mac; à la maison pas
encore...

--
Pierre-Alain Dorange

Vidéo, DV et QuickTime pour Mac <www.garage-video.fr.st>
Clarus, the DogCow <www.clarus.mac-fan.com>


Avatar
phpinfo
Marc Robert wrote:

Entendons nous bien : je n'accuse personne de quoi que ce soit, et
VirusBarrier détecte bien les (rares) virus Macros susceptibles de me
contaminer. Mais s'ils ont intégré la protection contre ce nouveau virus, ce
que je veux bien croire, comment puis-je le voir ?


Intego a nommé ce virus officiellement "MP3Virus.Gen"; MP3Concept c'est
son nom commercial ;-)

Voir : <http://www.intego.com/news/pr40.html>

Il y a eut très récemment des discussions sur usenet concernant ce type
le trojan potentiel et un des utilisateurs à publier dans ce fil un
"faux-virus" nommé virus.mp3 qu'il a encapsulé dans un .sit (afin que la
partie ressource soit transportée); tu peux trouver ce fichier (voir
lien ci-dessous) et le tester avec Virus Barrier par exemple :

<http://www.scoop.se/~blgl/virus.mp3.sit>

Ne le lance pas quand même dès fois qu'il s'agirait d'un vrai virus ;-)

--
Pierre-Alain Dorange

Vidéo, DV et QuickTime pour Mac <www.garage-video.fr.st>
Clarus, the DogCow <www.clarus.mac-fan.com>

Avatar
Éric Lévénez
Le 9/04/04 14:05, dans , « Julien
Jalon » a écrit :

Éric Lévénez wrote:
Pour finir, le communiqué d'Intego semble mentionner que c'est dans un
tag ID3 que le truc se loge... ça m'étonne un peu. Donc soit c'est
n'importe quoi, soit c'est juste un bug de iTunes.


Non, c'est un problème avec les types/créateur/extension. Sans les
types/créateurs et avec l'obligation d'utiliser et de voir les extensions,
cela ne serait pas possible.


Tu veux dire "avec l'obligation d'utiliser les extensions". Le fait de
les voir ou pas, ça n'a aucun intérêt.


Si car cela permet de voir le type de document et donc de ne pas se fier à
l'icône (en particulier pour les applications). Si tu masques l'extension tu
retombes dans les problèmes de virus Windows (doubles extensions...) ou
justement sur les chevaux de Troie liés à une icône trompeuse. Cacher des
informations a toujours été une façon dangereuse de travailler.

--
Éric Lévénez -- <http://www.levenez.com/>
Unix is not only an OS, it's a way of life.



Avatar
Éric Lévénez
Le 9/04/04 13:16, dans <1gbz8vk.w9p7ow17hhivoN%, « Fra »
a écrit :

Éric Lévénez wrote:

Ne pas cacher l'extension, ne plus utiliser les types/créateurs et ne pas
permettre d'icône sur autre chose qu'une application.


Un PC quoi! Beuark!...


Et revoilà les réactions primaires et non réfléchies...

--
Éric Lévénez -- <http://www.levenez.com/>
Unix is not only an OS, it's a way of life.


Avatar
Marc Robert
dans l'article 1gbzc1z.1usvogb1o7u24mN%,
Pierre-Alain Dorange à a écrit le 9/04/04
14:28 :

[..]

Intego a nommé ce virus officiellement "MP3Virus.Gen"; MP3Concept c'est
son nom commercial ;-)


Pas plus de "MP3Virus.Gen" que de "MP3Concept" dans la fameuse liste...


Ne le lance pas quand même dès fois qu'il s'agirait d'un vrai virus ;-)



J'archive, au cas où ;-)

Avatar
listes
Pierre-Alain Dorange wrote:

Il y a eut très récemment des discussions sur usenet concernant ce type
le trojan potentiel et un des utilisateurs à publier dans ce fil un
"faux-virus" nommé virus.mp3 qu'il a encapsulé dans un .sit


Avec un Virex à jour, il n'est pas détecté:

Summary report on /Users/olivier/Desktop/virus.mp3
File(s)
Total files: ........... 1
Clean: ................. 1
Not scanned: ........... 0
Possibly Infected: ..... 0


--
Olivier Goldberg, étudiant, macmaniaque, plongeur CMAS ***
Pour le courrier personnel, remplacer dans le From: listes par olivier
AIM/iChat: Nept47