10.12 Sierra Ransomware (vague en cours)

[Flickta]

bonjour à tous,

Sur notre site préféré (MacG bien sûr ;-), un article alerte sur une vague de produits Apple bloqué via icloud (article MacG ici) par des pirates.

Les commentaires bien que marrant pour certains sont assez HS, et donc difficile à se faire une idée de la méthode utilisée par les pirates.

Il semblerait que certains comptes iCloud (bien que la double authentification active) aient été victimes du blocage à distance.

Est-ce que quelqu'un ici est au courant de la méthode utilisée et surtout, quoi faire (si même la double authentification active), pour empêcher le verrouillage d'un iMac à distance ?

Merci de vos réponses éclairées !

 

[peyret]

Décocher -->

 

[r e m y]

L'article de MacG donne le lien vers le fil de discussion de ces forums qui en parle.
https://forums.macg.co/threads/help-je-crois-avoir-ete-infecte-par-un-ransomware.1294610/

Tu y croiseras des victimes de cette attaque.

Pour l'instant, décocher l'accès à distance et Localiser mon Mac semble prudent, ainsi que changer son mot de passe iCloud (car même si un moyen a été trouvé pour by-passer l'authentification à 2 facteurs, sans mot de passe valide, on n'accède pas au compte iCloud)

 

[Flickta]

@remy

Merci pour ton retour.

J'ai lu le fil de discussion (ça fait froid dans le dos...).

Quand tu parles de décocher l'Accès à distance et Localiser mon Mac, tu penses en local (sur la machine) ou sur icloud.com ?

Sinon, j'ai purement et simplement "Fermer ma session iCloud" sur le Mac. C'est valable ça aussi j'imagine (je n'ai aucun document ni aucune donnée sur les serveurs iCloud) ?

 

[Moonwalker]

Quand tu parles de décocher l'Accès à distance et Localiser mon Mac, tu penses en local (sur la machine) ou sur icloud.com ?

Ça revient au même.

Sinon, j'ai purement et simplement "Fermer ma session iCloud" sur le Mac. C'est valable ça aussi j'imagine (je n'ai aucun document ni aucune donnée sur les serveurs iCloud) ?

Un peu trop radical à mon goût. C'est aussi se priver des fonctions de synchronisation.

 

[Madalvée]

Les conseils sont valables même si le mot de passe iCloud n'est pas retrouvable par ingénierie sociale ?

 

[Moonwalker]

Si tu es sûr de l'intégrité de tes identifiants, tu n'as pas de raison paniquer.

 

[Flickta]

C'est LA question sur le sujet : personne ne connait le vecteur ...

Si je résume :

1. Si c'est de l'ingénierie sociale, chacun devrait être en mesure d'évaluer le risque d'un mot de passe iCloud comprormis (en ce qui me concerne pour moi le risque est à zéro)
   
2. Si la source ce sont les comptes emails Yahoo! hackés, chacun saura s'il a laisser trainer ses ID/MdP dans une boite mail Yahoo!
3. Si c'est un malware, bon là c'est juste de "lhigiène" prendant ses errances sur Internet (ne pas taper ses MDP à tout va...

 

[Moonwalker]

4. Si c'est une faille de iCloud

 

[Flickta]

4. Si c'est une faille de iCloud

Bien vu.

Dans ce cas, la fermeture de la session peut paraître adapté en attendant d'y voir plus clair.... Car, si c'est une faille, rien ne certifierait que désactiver Localiser mon Mac soit suffisant, non ?

 

[Moonwalker]

J'ai ajouté cette hypothèse à la liste parce qu'elle est plausible pas parce que j'y crois. Je pense même que c'est très peu probable.

Jusqu'à démonstration du contraire, j'ai confiance en mon passe iCloud que je n'utilise nulle part ailleurs et qui est très fort.

Confiance toute relative, je n'utilise ni Localiser mon Mac, ni Accès à mon Mac, ni même le Trousseau iCloud.

 

[pickwick]

A propose de faille de iCloud, je viens d'acheter et récupérer un macbook blanc de 2010 avec un compte iCloud encore actif sur la session.... la case "localiser mon mac" était cochée mais le service de localisation non activé et l'identification à deux facteurs non plus, je n'ai pas réussi à fermer la session (normal) car on m'a demandé le mot de passe du précédent propriétaire....

Mais j'ai créé alors (la session n'avait pas non plus de mot de passe) un second compte admin à mon nom et de là j'ai activé mon compte iCloud ...
J'ai pu alors sans le moindre souci :
1) cocher la case "localiser mon mac"
2) dire oui au mac qui me disait que cela désactiverait cette fonction pour la session de l'ancien propriétaire
3) activer la localisation dans les pref systèmes
4) enfin j'ai pu fermer la session iCloud de l'ancien propriétaire et supprimer son compte sur le mac.

Ce qui m'amène à dire que faute de précautions suffisantes (mot de passe admin, activation de la localisation dans les pref.systèmes et identification à deux facteurs) c'est très facile de prendre possession d'un mac sans le consentement explicite de son propriétaire si vous voyez ce que je veux dire....

Vu le bins que c'est de paramétrer tout cela correctement sur plusieurs machines actuellement (et c'est tant mieux) il n'est pas anormal que certains utilisateurs "oublient" faute de comprendre le plus souvent, de faire toutes ces manipulations qui seules peuvent garantir la sécurité.... et ne me parlez pas des mails de phishing sur lesquels certains sautent joyeusement...

 

[Moonwalker]

Ce qui m'amène à dire que faute de précautions suffisantes (mot de passe admin, activation de la localisation dans les pref.systèmes et identification à deux facteurs) c'est très facile de prendre possession d'un mac sans le consentement explicite de son propriétaire si vous voyez ce que je veux dire....

Il n'y a plus de notion de sécurité qui vaille s'il y a accès physique à la machine. C'est valable pour n'importe quel ordinateur, quelque soit le système.