Intrusion macOS Sapphire Sleet : points clés Defender

Introduction

Microsoft a publié de nouvelles recherches sur une campagne d’intrusion macOS liée à Sapphire Sleet, un acteur de menace nord-coréen connu pour cibler les organisations de cryptomonnaie et de finance. Ce rapport est important, car il montre comment des attaquants peuvent compromettre des Mac sans utiliser d’exploit logiciel, simplement en convainquant les utilisateurs d’exécuter ce qui semble être une mise à jour légitime.

Ce qui est nouveau dans cette campagne

Microsoft a observé Sapphire Sleet utiliser un faux fichier Zoom SDK Update.scpt pour lancer une chaîne d’infection macOS en plusieurs étapes.

Techniques clés mises en avant

• Ingénierie sociale plutôt que exploits : la campagne dépend du fait que les utilisateurs ouvrent et exécutent manuellement un fichier AppleScript malveillant.
• Abus d’applications de confiance : le leurre s’ouvre dans macOS Script Editor, une application Apple légitime, ce qui aide l’activité à paraître bénigne.
• Livraison de payloads en plusieurs étapes : le script utilise curl et osascript pour récupérer et exécuter des payloads AppleScript supplémentaires depuis une infrastructure contrôlée par les attaquants.
• Vol d’identifiants et persistance : les étapes suivantes collectent des mots de passe, ciblent des actifs de cryptomonnaie, manipulent des comportements liés à TCC, établissent une persistance et exfiltrent des données sensibles.
• Faux processus de mise à jour : le script malveillant inclut de fausses instructions de mise à jour et lance des outils système de confiance pour renforcer sa légitimité.

Microsoft a noté que cette chaîne d’attaque peut fonctionner en dehors des limites normales d’application de la sécurité macOS lorsque l’exécution est initiée par l’utilisateur, réduisant l’efficacité de contrôles tels que Gatekeeper, les vérifications de notarization, l’application de la quarantaine et certaines parties du framework Transparency, Consent, and Control.

Pourquoi c’est important pour les défenseurs

Pour les équipes IT et sécurité, le principal enseignement est que les utilisateurs macOS restent très vulnérables aux leurres convaincants, en particulier dans des secteurs à forte valeur comme la cryptomonnaie, le capital-risque, la finance et la blockchain. La campagne montre également que les attaquants combinent de plus en plus des utilitaires macOS légitimes avec une livraison de payloads par étapes afin d’éviter d’éveiller les soupçons.

Les organisations utilisant Microsoft Defender devraient examiner les nouvelles détections, les recommandations de hunting et les indicateurs de compromission publiés par Microsoft pour cette activité. Une visibilité cross-platform est essentielle, en particulier dans les environnements qui ont historiquement considéré les Mac comme des endpoints à plus faible risque.

Étapes suivantes recommandées

• Former les utilisateurs à ne pas exécuter de fichiers de mise à jour inattendus, en particulier les fichiers .scpt ou les scripts fournis en dehors des canaux officiels.
• Maintenir macOS à jour avec les dernières protections et mises à jour de sécurité d’Apple.
• Examiner les détections endpoint pour repérer l’utilisation suspecte de Script Editor, osascript et curl en séquence.
• Rechercher les activités de fausse mise à jour et les exécutions AppleScript anormales liées à des téléchargements externes.
• Prioriser les utilisateurs à haut risque dans la finance, la crypto et les fonctions dirigeantes pour une surveillance renforcée et des contrôles résistants au phishing.

Cette recherche rappelle que les attaques macOS modernes réussissent souvent par persuasion, et non par exploitation. Les équipes de sécurité doivent combiner sensibilisation des utilisateurs, supervision des endpoints et contrôles de défense multicouches pour réduire l’exposition.