Code Signing

Selon Jamf Threat Labs (blog Jamf), une nouvelle itération de l’infostealer macOS MacSync Stealer abandonne les chaînes d’exécution « drag‑to‑terminal/ClickFix » au profit d’un dropper Swift code‑signé et notarisé, distribué dans une image disque, qui récupère et exécute un script de second étage de façon plus discrète. Le binaire Mach‑O universel est signé et notarisé (Developer Team ID GNJLS3UYZ4) et a été livré dans un DMG nommé zk-call-messenger-installer-3.9.2-lts.dmg, accessible via https://zkcall.net/download. Le DMG est volumineux (25,5 Mo) en raison de fichiers leurres (PDF liés à LibreOffice) intégrés. Au moment de l’analyse initiale, les hachages n’étaient pas révoqués, puis Jamf a signalé l’abus à Apple et le certificat a été révoqué. Sur VirusTotal, les échantillons allaient de 1 à 13 détections, classés surtout comme téléchargeurs génériques (familles « coins » ou « ooiid »). ...

L’article, publié sur le blog du chercheur en cybersecurité Michael Taggart, explore les implications de la nouvelle version 2.3 de Deno, un outil de développement basé sur Rust, qui est désormais code-signé sur Windows. Deno est présenté comme une alternative à Node.js, apprécié pour ses choix de conception et son approche de la gestion des dépendances. Cependant, la mise à jour 2.3, qui inclut la signature de code sur Windows, soulève des préoccupations en matière de sécurité offensive. ...