Une nouvelle campagne de logiciels malveillants multiplateformes utilise un faux installateur de Zoom pour distribuer Overlord, un cheval de Troie d’accès à distance (RAT) open source, sur des systèmes macOS et Windows.
La campagne, analysée par les chercheurs de Jamf Threat Labs, se distingue notamment par l’utilisation d’un downloader compilé en .NET 10 pour cibler macOS. Cette approche est inhabituelle, car les malwares multiplateformes observés sur macOS utilisent plus fréquemment des technologies comme Go ou Rust.
Un faux Zoom pour tromper les utilisateurs
L’attaque repose sur une technique particulièrement efficace : faire passer le logiciel malveillant pour un véritable programme d’installation de Zoom.
Le premier composant identifié est un binaire macOS ARM64 de type Mach-O baptisé ZoomMeetings. Il s’agit d’une application autonome développée avec .NET 10, intégrant directement son environnement d’exécution.
Les chercheurs ont également découvert 34 DLL embarquées dans le binaire. L’une d’entre elles utilisait des métadonnées destinées à donner l’apparence d’un composant légitime associé à Zoom Communications.
Cette technique vise à réduire les soupçons de la victime et à faire croire que l’installation correspond réellement au logiciel attendu.
Un downloader capable de cibler plusieurs systèmes
Le fonctionnement du programme malveillant ne se limite pas à macOS.
Le downloader utilise les fonctionnalités de détection de .NET afin d’identifier le système d’exploitation et l’architecture de la machine. Il peut ensuite récupérer une charge utile adaptée à macOS ARM64, macOS Intel ou Windows x64.
Le programme utilise notamment une infrastructure se faisant passer pour des domaines associés à Zoom. Les chercheurs ont identifié notamment cdn.zoom.com[.]kg comme serveur utilisé pour récupérer la seconde étape du malware.
Une fois celle-ci téléchargée, le programme la place dans un répertoire temporaire avant de l’exécuter en arrière-plan. Parallèlement, il télécharge le véritable installateur Zoom afin de maintenir l’illusion auprès de l’utilisateur.
Autrement dit, la victime peut avoir l’impression que Zoom a été correctement installé alors qu’un malware a également été exécuté sur son ordinateur.
Overlord RAT prend le contrôle de la machine
La deuxième étape de l’attaque correspond à Overlord, un RAT open source multiplateforme basé sur WebSocket.
Dans l’échantillon analysé, le malware a été compilé pour macOS ARM64 et obfusqué afin de compliquer son analyse. Les chercheurs indiquent également que la communication avec l’infrastructure de commande et contrôle est configurée vers une adresse contrôlée par les attaquants.
Le projet Overlord étant disponible publiquement, son existence n’est pas en elle-même synonyme de malware. C’est son utilisation dans cette campagne et son intégration dans une chaîne de distribution malveillante qui rendent l’échantillon dangereux.
Une version du projet est également disponible publiquement sur GitHub, ce qui illustre la manière dont des outils open source peuvent être détournés dans des opérations malveillantes.
Des capacités permettant une surveillance importante
Une fois exécuté sur une machine compromise, Overlord dispose de nombreuses fonctionnalités typiques d’un RAT.
Selon l’analyse publiée, le malware peut notamment permettre :
- l’enregistrement des frappes au clavier ;
- la capture de l’écran ;
- l’accès à la webcam ;
- l’accès au microphone ;
- la gestion du système de fichiers ;
- la gestion des processus ;
- l’exécution de scripts ;
- le chargement de plugins ;
- la diffusion de bureau à distance ;
- la mise à jour à distance du malware.
Ces capacités peuvent donner à un attaquant un niveau de contrôle important sur une machine infectée et faciliter le vol d’informations ou la surveillance de l’utilisateur.
Une persistance possible sur macOS
Les chercheurs ont également identifié un mécanisme permettant au malware de maintenir sa présence sur le système grâce à un LaunchAgent.
Dans une variante analysée, le malware crée notamment le fichier :
~/Library/LaunchAgents/com.zoom.plist
Cette technique permet au programme malveillant d’être relancé automatiquement dans certaines conditions après son installation.
Jamf Threat Labs a relevé des similitudes entre cette méthode de persistance et certaines activités associées à FlexibleFerret, une famille de malwares attribuée à la Corée du Nord. Cependant, Jamf précise qu’aucune attribution formelle de cette campagne à un groupe particulier n’a été établie.
Cette nuance est importante : les similitudes techniques peuvent orienter une enquête, mais elles ne constituent pas à elles seules une preuve d’attribution.
Une évolution notable des malwares macOS
L’un des éléments les plus intéressants de cette campagne concerne le choix technologique.
Les chercheurs soulignent qu’il s’agit du premier cas observé par Jamf où .NET est utilisé comme downloader de malware sur macOS dans ce type de campagne. Jusqu’ici, les acteurs malveillants cherchant à disposer d’un code multiplateforme se tournaient davantage vers Go ou Rust.
L’utilisation de .NET permet ici aux attaquants de conserver une logique commune tout en adaptant les charges utiles aux différentes architectures.
Cette évolution montre que les défenseurs ne doivent pas limiter leur surveillance aux langages et familles de malwares traditionnellement associés à macOS.
Les domaines et indicateurs à surveiller
L’analyse publiée fournit plusieurs indicateurs de compromission permettant aux équipes de sécurité de rechercher d’éventuelles infections.
Parmi les éléments identifiés figurent notamment :
cdn.zoom.com[.]kg;hub.zoom.com[.]kg;dash.zoom.com[.]kg;hub.zoom.com[.]lv;/tmp/ZoomMeetings;~/Library/Application Support/Overlord/com.zoom;~/Library/LaunchAgents/com.zoom.plist.
Les domaines sont volontairement présentés sous forme défanguée afin d’éviter une connexion accidentelle à l’infrastructure malveillante. Les équipes de sécurité peuvent les intégrer à leurs outils de threat intelligence, SIEM ou plateformes d’analyse dans un environnement contrôlé.
Comment se protéger contre les faux installateurs ?
Cette campagne rappelle surtout l’importance de la provenance des logiciels téléchargés.
Les utilisateurs et les entreprises devraient éviter de télécharger des applications depuis des résultats de recherche douteux, des sites inconnus ou des liens reçus par courrier électronique. Les logiciels doivent être récupérés depuis les canaux officiels de leurs éditeurs.
Pour Zoom, il est préférable de vérifier les téléchargements directement depuis le site officiel de Zoom plutôt que de se fier à un domaine ressemblant au nom de l’entreprise.
Les organisations peuvent également renforcer leur protection en activant les fonctions de prévention des menaces, de filtrage Web et de détection comportementale sur les postes macOS et Windows. Jamf recommande notamment l’utilisation de ses contrôles de prévention et de protection Web contre ce type de menace.
Une campagne qui illustre l’évolution des menaces multiplateformes
Cette campagne montre que les attaquants continuent de chercher des moyens de rendre leurs logiciels malveillants plus difficiles à détecter tout en élargissant leur compatibilité.
L’utilisation d’un faux installateur Zoom permet de profiter de la confiance accordée à une application très répandue, tandis que le downloader .NET sert de couche intermédiaire avant le déploiement d’Overlord RAT.
Le cas est particulièrement intéressant pour les équipes de cybersécurité, car il démontre qu’un logiciel présenté comme légitime peut cacher une chaîne d’infection complète : faux installateur → downloader .NET → charge utile Overlord → contrôle à distance.
La prudence lors du téléchargement de logiciels, associée à une surveillance comportementale des postes et à des mécanismes de protection Web, reste donc essentielle pour limiter ce type de compromission.
Source : GBHackers – analyse de la campagne
