Un faux Zoom installe Overlord : pourquoi l’antivirus seul ne suffit plus sur Mac

L’utilisateur pense installer Zoom. Le logiciel de visioconférence s’ouvre, fonctionne et ne donne aucune raison immédiate de suspecter un problème. Pourtant, dans le même temps, un second programme s’est exécuté en arrière-plan et a connecté le Mac à une infrastructure contrôlée par un attaquant.

C’est précisément ce qui rend le faux installateur analysé par Jamf Threat Labs intéressant pour une entreprise. La tromperie ne repose pas sur une imitation grossière qui échoue à l’installation : le programme malveillant télécharge aussi le véritable paquet Zoom afin de maintenir l’illusion. L’utilisateur obtient donc ce qu’il attend, tandis qu’un agent du framework de contrôle à distance Overlord est déposé sur la machine.

Ce cas ne signifie pas que Zoom a été compromis. Il montre plutôt comment une application connue peut devenir un leurre crédible quand le téléchargement, l’installation et les droits locaux restent entièrement à la charge de l’utilisateur. La réponse ne peut donc pas se limiter à « installer un antivirus ». Elle doit réunir les protections natives de macOS, une distribution logicielle maîtrisée, un MDM, une détection comportementale, l’éducation des utilisateurs et une procédure de réponse à incident.

La première étape est un exécutable nommé ZoomMeetings. Il se présente comme un installateur Zoom, mais son rôle réel est celui d’un téléchargeur. Son enveloppe est un binaire Mach-O pour Mac Apple silicon ; elle contient une application .NET 10 autonome et toutes les bibliothèques nécessaires à son exécution.

Cette architecture a deux conséquences. D’abord, l’absence préalable de .NET sur le poste ne constitue pas un obstacle. Ensuite, le même code peut identifier le système et l’architecture, puis sélectionner une charge utile adaptée à macOS ou à Windows. La menace n’est donc pas confinée à une seule plateforme, même si l’échantillon détaillé ici vise un Mac ARM64.

Sur macOS, le téléchargeur écrit le second étage dans /tmp/ZoomMeetings et le lance en arrière-plan. En parallèle, il récupère le véritable paquet Zoom. Lorsque l’utilisateur termine son installation, l’application attendue est bien présente et utilisable. Cette réussite apparente diminue la probabilité d’un signalement au support.

Le deuxième étage est un agent Overlord compilé pour macOS. L’échantillon principal se connecte à son serveur de commande au moyen d’un WebSocket chiffré, mais avec la validation du certificat désactivée. Une autre variante identifiée sous le même nom utilise la même infrastructure et installe une persistance dans le profil utilisateur.

Le scénario est important pour le support IT : un ticket « Zoom fonctionne » ne révèle rien sur la provenance du paquet installé. Le nom du logiciel, son icône et son bon fonctionnement ne prouvent pas que l’installeur d’origine était légitime.

Overlord est un framework de contrôle à distance disponible publiquement. Les capacités présentes dans son code sont larges :

Cette liste doit être lue avec précision. Elle décrit ce que le framework permet à un opérateur de demander, pas une preuve que chaque capacité a été utilisée dans l’activité observée. Les mécanismes de confidentialité de macOS, notamment Transparency, Consent and Control, peuvent aussi imposer des autorisations pour l’accès à la caméra, au microphone, à l’écran ou aux événements de saisie.

Le risque reste néanmoins élevé. Un outil capable de recevoir des commandes, d’accéder aux fichiers et de se mettre à jour donne à l’attaquant une plateforme pour adapter son action après la première intrusion. Il peut attendre, explorer la machine, récupérer d’autres charges utiles ou rechercher des données et des identifiants intéressants.

macOS intègre plusieurs couches de protection. Gatekeeper contrôle la provenance, la signature et la notarisation des logiciels téléchargés. XProtect recherche des contenus malveillants connus, reçoit des signatures indépendamment des mises à jour complètes du système et possède aussi des capacités de détection et de remédiation comportementales.

Ces protections sont essentielles. Le cas Overlord ne démontre pas qu’elles seraient inutiles ou qu’elles ont toutes été contournées. Il rappelle simplement une limite inhérente à toute détection : un nouvel échantillon peut être inconnu au moment où il apparaît, tandis qu’un utilisateur peut parfois tenter de forcer l’ouverture d’un logiciel bloqué. Apple peut ensuite révoquer un certificat, diffuser une règle XProtect ou bloquer le fichier, mais l’entreprise doit aussi savoir ce qui s’est passé avant cette mise à jour.

Le constat VirusTotal doit être interprété dans ce cadre. Au moment précis de l’analyse, l’échantillon n’était détecté par aucun moteur statique du service. Il s’agit d’une photographie, pas d’une garantie permanente d’invisibilité. Une signature peut être ajoutée après la publication, et une solution de sécurité peut repérer la chaîne d’événements sans reconnaître préalablement le hash du fichier.

C’est là que l’EDR complète l’antivirus. Il peut rapprocher plusieurs signaux faibles :

Une alerte isolée peut être bénigne. Leur enchaînement raconte en revanche un scénario. L’intérêt d’une télémétrie centralisée est de conserver cette chronologie, d’identifier les autres Mac concernés et de donner au support ou au SOC des éléments vérifiables pour décider d’un isolement.

La meilleure défense contre un faux installateur n’est pas de demander à chaque collaborateur de reconnaître parfaitement tous les faux sites. Elle consiste à rendre la recherche inutile.

Sur un parc géré, Zoom peut être distribué sous forme de paquet approuvé par le MDM, proposé dans un portail en libre-service ou installé automatiquement selon les besoins du métier. Zoom fournit d’ailleurs un paquet destiné aux administrateurs IT et permet de configurer son client macOS avec des fichiers plist.

Cette méthode apporte plusieurs contrôles :

Le MDM n’empêche pas magiquement tout téléchargement Web. Il réduit l’incitation à le faire et permet d’appliquer des restrictions adaptées au contexte. La politique doit aussi traiter les droits d’administration locaux. Un collaborateur qui dispose en permanence d’un compte administrateur peut installer plus facilement un paquet non approuvé et valider des demandes qu’il ne comprend pas. Une élévation temporaire, justifiée et journalisée offre souvent un meilleur compromis entre autonomie et contrôle.

Cette approche rejoint les principes de gestion MDM d’un parc et de cycle de vie des applications sur macOS : l’installation initiale, la configuration, la mise à jour et le retrait forment un même service.

Un catalogue MDM ne remplace pas l’attention humaine. Il lui donne un cadre simple. Dans ce scénario, l’utilisateur est la seule personne qui sait qu’il vient de chercher Zoom, qu’il a ouvert un fichier inattendu ou qu’une demande d’autorisation lui a semblé inhabituelle. S’il sait comment réagir, ce doute peut devenir le premier signal d’une détection que les outils n’ont pas encore produite.

La sensibilisation utile ne consiste pas à demander à chacun d’analyser une signature de code ou un certificat. Elle doit fournir quelques réflexes faciles à appliquer :

L’ANSSI recommande de télécharger les programmes depuis le site de leur éditeur et de limiter les privilèges accordés aux utilisateurs et aux applications. Pour une entreprise, le catalogue MDM rend cette règle plus concrète encore : la source officielle n’est plus une adresse que chacun doit retrouver, mais un service déjà présent sur le Mac.

Cette éducation doit être régulière, brève et liée au quotidien. Un exercice réaliste sur un faux logiciel, une démonstration des avertissements macOS et un rappel du canal de signalement sont plus utiles qu’une formation annuelle trop abstraite. La CISA recommande également des tests fréquents et réalistes, un mécanisme de remontée simple et une culture sans blâme. Le dernier point est décisif : si un collaborateur craint une sanction, il attendra ou effacera des éléments ; s’il sait que la rapidité compte davantage que la faute, le support conserve l’URL, le fichier et la chronologie nécessaires à l’enquête.

Il faut enfin mesurer cette couche de défense. Le bon indicateur n’est pas seulement le taux d’échec à un exercice, mais aussi le délai de signalement, la qualité des informations remontées, le nombre de demandes de logiciels traitées et la correction des obstacles qui poussent encore les équipes vers le Web. L’utilisateur devient alors un capteur de sécurité intégré à un dispositif technique, et non le maillon faible désigné après l’incident.

Un logiciel de visioconférence demande légitimement l’accès au microphone, à la caméra et parfois à l’enregistrement de l’écran. C’est précisément ce qui rend le leurre efficace : des demandes sensibles paraissent cohérentes avec l’usage attendu.

L’objectif n’est donc pas d’interdire toutes les autorisations, mais de relier chaque autorisation à un binaire et à une provenance maîtrisés. Les profils Privacy Preferences Policy Control déployés par MDM doivent être limités aux applications prévues, avec leurs identifiants et exigences de signature corrects. Une règle trop large peut transformer un outil de simplification en accélérateur pour un logiciel indésirable.

La télémétrie de l’endpoint doit, de son côté, rendre visibles les événements Gatekeeper, XProtect, les montages de DMG, les installations non gérées, les créations de LaunchAgents, les changements TCC, les processus et les connexions réseau. Le choix de l’EDR n’est pas uniquement une question de moteur de blocage : il faut vérifier quelles données sont réellement collectées, pendant combien de temps, où elles sont envoyées et qui sait les exploiter.

Pour un environnement Jamf, la documentation de Jamf Protect décrit notamment la collecte des événements d’applications et de processus, de persistance, de sécurité Apple, de changements TCC et de réseau. D’autres EDR pour macOS peuvent fournir des fonctions comparables. Le critère utile reste la capacité à détecter, rechercher et répondre, pas le nom du produit seul.

Cette démarche s’intègre à une gestion opérationnelle du parc informatique : le but n’est pas seulement de supprimer un fichier, mais de retrouver un poste dont l’état est connu et vérifiable.

La première serait d’annoncer que « Zoom a été piraté ». Rien dans l’analyse ne montre une compromission de l’éditeur ou de son application officielle. Le logiciel sert de couverture à un installateur tiers malveillant.

La deuxième serait de rechercher uniquement le nom ZoomMeetings. Un attaquant peut changer le nom, le hash, le chemin, le domaine ou la configuration de persistance. Les indicateurs précis sont utiles pour la recherche immédiate ; les comportements sont plus durables pour la détection.

La troisième serait de considérer la présence du vrai Zoom comme une preuve de légitimité. Dans ce scénario, son installation réussie fait partie de l’attaque.

La quatrième serait de conclure qu’un antivirus n’a aucune valeur parce qu’un échantillon était initialement inconnu. Gatekeeper, XProtect et les produits de protection endpoint restent des couches essentielles. Le problème apparaît lorsque toute la défense dépend d’une seule détection de fichier, sans contrôle de distribution, visibilité comportementale ni réponse organisée.

Enfin, il ne faut pas attribuer cette activité sans preuve. Des ressemblances existent avec d’autres campagnes et l’outil Overlord a déjà été utilisé ailleurs, mais Jamf Threat Labs n’établit pas de lien direct avec un acteur précis dans ce cas.

Une politique efficace ne demande pas aux utilisateurs de devenir analystes de malware. Elle leur donne un chemin sûr et plus simple que le téléchargement improvisé : un catalogue clair, des applications à jour, des droits adaptés, des réflexes compris et un support accessible sans jugement.

BoucheCousue accompagne les entreprises dans le déploiement de Jamf pour les flottes Apple, la distribution des applications, la réduction des droits locaux et la mise en place d’une protection endpoint adaptée aux postes de travail. Contactez-nous pour auditer votre parc Mac et organiser un pilote.