https://cyberveille.ch/tags/launchagent/ Recent content in LaunchAgent on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Thu, 17 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-17-macos-les-modules-zsh-permettent-de-contourner-la-detection-basee-sur-les-processus/ Thu, 17 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-17-macos-les-modules-zsh-permettent-de-contourner-la-detection-basee-sur-les-processus/ <h2 id="-contexte">🔍 Contexte</h2> <p>Article technique publié le 16 septembre 2026 sur dfir.ch, rédigé par un analyste DFIR. Il documente l&rsquo;abus potentiel du système de modules de <strong>zsh</strong> (shell par défaut sur macOS) à des fins d&rsquo;évasion de détection et d&rsquo;exécution furtive.</p> <h2 id="-fonctionnalités-des-modules-zsh-exploitables">⚙️ Fonctionnalités des modules zsh exploitables</h2> <p>zsh dispose d&rsquo;un système de modules chargeables à l&rsquo;exécution via <code>zmodload</code>, exposant des fonctionnalités normalement associées à des utilitaires externes :</p> <ul> <li><strong><code>zsh/net/tcp</code></strong> : connexions TCP brutes via le builtin <code>ztcp</code> (sans <code>curl</code>, <code>wget</code>, <code>nc</code>)</li> <li><strong><code>zsh/mapfile</code></strong> : lecture/écriture/suppression de fichiers via un tableau associatif (sans <code>cat</code>, <code>rm</code>)</li> <li><strong><code>zsh/attr</code></strong> : manipulation des attributs étendus via <code>zgetattr</code>, <code>zsetattr</code>, <code>zdelattr</code>, <code>zlistattr</code> (sans <code>/usr/bin/xattr</code>)</li> <li><strong><code>zsh/files</code></strong>, <strong><code>zsh/stat</code></strong>, <strong><code>zsh/sched</code></strong>, <strong><code>zsh/zselect</code></strong> : autres fonctionnalités système</li> </ul> <h2 id="-technique-dattaque-démontrée">🎯 Technique d&rsquo;attaque démontrée</h2> <p>L&rsquo;article démontre une chaîne d&rsquo;exécution complète :</p>