Logiciel malveillant macOS notnullOSX

notnullOSX est une famille de logiciels malveillants sophistiquée, conçue pour voler des informations et écrite en Go. Elle cible les utilisateurs de macOS, en particulier les cryptomonnaies et autres données sensibles. Les cybercriminels la diffusent généralement via des campagnes ClickFix trompeuses et des fichiers d'installation DMG piégés. Si vous la détectez sur un appareil, supprimez-la immédiatement.

Comment fonctionne notnullOSX après une infection

Une fois installé et disposant d'un accès complet au disque, notnullOSX peut lire une grande partie des fichiers stockés sur le système. Il communique avec un serveur de commandes distant et télécharge des modules malveillants distincts, chacun conçu pour une tâche spécifique.

Ces composants temporaires permettent de voler des mots de passe, de copier des fichiers, de collecter des identifiants et d'étendre les fonctionnalités du logiciel malveillant. Comme les modules sont récupérés à la demande, les attaquants peuvent adapter l'infection en continu après la compromission initiale.

Capacités de vol de données de navigation et de données personnelles

notnullOSX cible principalement les données stockées dans les principaux navigateurs web. Différents modules sont utilisés pour extraire des catégories spécifiques d'informations de Google Chrome, Mozilla Firefox et Safari.

Le logiciel malveillant est capable de voler :

• Mots de passe enregistrés, cookies, favoris et historique de navigation
• Notes enregistrées sur l'appareil, données de session Telegram Desktop et jusqu'à 500 messages par conversation, pièces jointes et mise en forme comprises.
• Clés SSH, identifiants cloud, jetons API et fichiers de configuration enregistrés dans le dossier personnel de l'utilisateur

Ces informations volées peuvent donner aux criminels accès à des comptes, des serveurs, des environnements cloud et des plateformes de développement.

Les portefeuilles de cryptomonnaies sont une cible prioritaire

L'un des principaux objectifs de notnullOSX est le vol de cryptomonnaies. Ce logiciel malveillant recherche les données liées aux portefeuilles numériques populaires, tels que Atomic Wallet, Bitcoin Core, Electrum, Exodus et Wasabi Wallet.

Il analyse également les extensions de portefeuilles web et copie les informations stockées, y compris les phrases de récupération chiffrées. Même les données chiffrées d'un portefeuille peuvent être exploitées ultérieurement par des attaques de type « sweep » ou des techniques d'ingénierie sociale plus poussées.

La fonctionnalité de remplacement d’applications accroît le danger

Contrairement à de nombreux logiciels de vol de données classiques, notnullOSX peut remplacer des applications légitimes par des copies malveillantes. Il peut télécharger une fausse version d'une application de confiance, comme un logiciel de portefeuille électronique, substituer l'application originale et conserver la même icône et la même apparence.

Une fois lancée, l'application contrefaite semble normale tout en collectant secrètement des informations sensibles telles que les phrases de récupération du portefeuille électronique. Cette fonctionnalité peut être activée ou désactivée à distance et n'est généralement utilisée que lorsque l'application ciblée est déjà présente sur le système de la victime.

Plus qu’un voleur : un comportement de rat

notnullOSX fonctionne davantage comme un cheval de Troie d'accès à distance (RAT) que comme un voleur de données classique. Il maintient une connexion permanente avec ses opérateurs et vérifie régulièrement la présence de commandes.

Cela permet aux attaquants de :

• Envoyer de nouvelles instructions après l'infection
• Téléchargez et exécutez des modules malveillants supplémentaires
• Mettre à jour les fonctionnalités ou déployer des charges utiles supplémentaires
• Maintenir un contrôle à long terme sur les systèmes compromis

Du fait de cette flexibilité, les infections peuvent évoluer au fil du temps et devenir beaucoup plus dommageables.

Comment notnullOSX est distribué

Le logiciel malveillant se propage principalement par le biais d'attaques d'ingénierie sociale qui incitent les utilisateurs à l'installer eux-mêmes. Les victimes peuvent se voir présenter de faux problèmes, tels qu'un avertissement « document Google protégé » ou un message d'erreur concernant une application macOS endommagée. Elles sont ensuite invitées à résoudre le problème en suivant des étapes spécifiques, une tactique largement connue sous le nom de ClickFix .

Ces étapes impliquent souvent l'exécution de commandes dans le Terminal ou l'ouverture de fichiers DMG malveillants. notnullOSX a également été distribué via de faux sites web de logiciels, des portails de téléchargement frauduleux, des chaînes YouTube piratées et de fausses applications telles que des outils de fond d'écran comme « WallSpace.app ».

Certaines victimes sont même guidées pour activer manuellement l'accès complet au disque, ce qui donne au logiciel malveillant une large visibilité sur l'appareil.

Évaluation finale de la sécurité

notnullOSX est une menace macOS extrêmement dangereuse, capable de dérober des données de navigation, des cryptomonnaies, des communications privées, des informations d'authentification et des identifiants de développeur. Sa conception modulaire, son contrôle à distance persistant et sa capacité à remplacer des applications la rendent particulièrement redoutable. Les victimes s'exposent à un piratage de compte, à un vol d'identité, à des pertes financières et au déploiement d'autres logiciels malveillants. Il est fortement recommandé de la supprimer immédiatement et de réinitialiser complètement ses identifiants après sa détection.