Premier cheval de troie sous OS X ? [MàJ]
Intego vient de mettre le feu à la plateforme OS X en annonçant que Virus Barrier bloquait un cheval de troie venant de faire son apparition.
Utilisant une faille, ce logiciel s'exécute en se faisant passer pour un fichier MP3. Le code caché peut ensuite faire son mal, en se répliquant, ou en effaçant des données.
Nous allons essayer de collecter des données d'ici demain.
http://www.intego.com/news/pr40.html
Inutile d'essayer d'aller sur leur site, il est totalement saturé, ce soir.
[MàJ de Namu]
La faille en question est dans le Finder, qui attribue une icône de MP3 aux applications affublées d'une extension ".mp3" au lieu de leur donner l'icône d'Application par défaut. Le troyen profite de ce bug pour prétendre être un fichier musical en espérant que l'utilisateur va double-cliquer dessus pour l'ouvrir au lieu de le glisser sur un lecteur ou dans la bibliothèque d'iTunes.
Une application ainsi "déguisée" peut effacer vos fichiers personnels, mais pas modifier le système. C'est déjà ça.
En attendant un correctif, faites comme moi: vérifiez toujours que les fichiers media (MP3, MPEG, AVI, etc...) fraîchement obtenus affichent bien un aperçu correct dans le Finder en vue colonne, et pour les ouvrir, glissez-les sur QuickTime Player ou iTunes plutôt que de les double-cliquer.
[MàJ] Vous pouvez réagir sur les forums ici
P.S.: le "bug" en question est évidemment le fait que MacOS X se base sur les métadonnées plutôt que sur l'extension de fichier pour déterminer le type de fichier, comme le faisaient déjà les versions précédentes de MacOS ;) Le virus dont il est question est inoffensif, c'est juste une preuve que le concept marche. Le problème est simple à régler: que le Finder se base en priorité sur l'extension de fichier plutôt que sur les métadonnées avant d'ouvrir un fichier... au risque de casser quelque peu la compatibilité avec MacOS 8/9 - mais bon, qui va aller affubler une application Carbon d'une extension de fichier ?
P.P.S.: le virus ne peut se propager que si le Resource Fork accompagne le Data Fork, c'est à dire uniquement si ce "mp3" est zippé ou dans une archive .sit, puis décompressé sur le Mac.