Le 24 juillet 2026, Apple a publié une mise à jour silencieuse de son moteur anti-malware intégré XProtect, portant la base de règles à la version 5352. Cette diffusion couvre toutes les versions de macOS encore supportées, de macOS Sequoia jusqu’à macOS Tahoe et macOS Golden Gate.
Apple ne communique pas publiquement le détail des menaces adressées, mais l’analyse de la base YARA embarquée, rendue publique par Howard Oakley sur The Eclectic Light Company, permet d’identifier les évolutions concrètes de cette mise à jour.
Éléments impactés
Composant : XProtect (moteur de signatures anti-malware intégré à macOS)
Version de règles : 5352
Date de publication : 24 juillet 2026
Systèmes concernés : toutes les versions de macOS supportées
Diffusion : automatique via les mécanismes de mise à jour d’Apple ; sur Sequoia, Tahoe et Golden Gate, la propagation se fait aussi via iCloud
Détails
Article — Apple has released an update to XProtect for all macOS
Source : The Eclectic Light Company (Howard Oakley) | Publication : 2026-07-24
Résumé factuel repris de l’article : la mise à jour XProtect 5352 introduit deux nouvelles règles YARA visant les familles MACOS.BOATLOAD.REWA et MACOS.BOATLOAD.REFU. Fait plus inhabituel, elle retire les règles concernant MACOS.DUBROBBER.D et MACOS.DUBROBBER.E, et amende la règle relative à MACOS.SOMA.D. Le fichier XPScripts.yr, dédié aux règles Osascript, n’est pas modifié.
Gravité : évaluation officielle non communiquée par Apple. Il ne s’agit pas d’un correctif de vulnérabilité (CVE), mais d’une mise à jour de signatures qui renforce la détection de malwares actifs et retire d’anciennes signatures devenues obsolètes ou redondantes.
Recommandations :
Vérifier que la version 5352 est bien installée sur les Mac administrés, via À propos de ce Mac puis Rapport système > Installations, ou avec SilentKnight/SystHist pour un inventaire précis.
Sur macOS Sequoia, Tahoe et Golden Gate, forcer la vérification en Terminal avec sudo xprotect check et, si besoin, sudo xprotect update.
Sur les versions antérieures, si SilentKnight signale une désynchronisation, forcer l’installation via l’identifiant de mise à jour XProtectPlistConfigData_10_15-5352.
Rester attentif aux publications ultérieures d’Apple : le retrait des règles DUBROBBER.D/E reste inexpliqué à ce stade et pourrait indiquer soit une consolidation dans une autre règle, soit une réévaluation du risque.
Tableau des références
Titre de la page du support technique
URL officielle
Date de publication
Apple has released an update to XProtect for all macOS (The Eclectic Light Company, Howard Oakley)
Avis de non-responsabilité : Cette publication est générée automatiquement à des fins purement informatives. Bien que les données soient issues de veilles technologiques, elles ne sauraient se substituer aux publications officielles. Pour toute décision relative à la sécurité de vos systèmes, il convient de vérifier et de valider les informations fournies en consultant directement les bulletins officiels du NIST (National Institute of Standards and Technology) et d’Apple Security.
Depuis WWDC 2026, les mises à jour de XProtect et XPR se sont tues. Apple déploie en parallèle deux architectures de protection, introduit l’outil xprotect en ligne de commande et prépare « Golden Gate », un modèle de sécurité natif Apple Silicon. Ce que les notes de version « sans CVE » ne disent pas.
Votre Mac n’a pas reçu de nouvelle signature de malware depuis le 2 juin. L’outil de remédiation XPR, lui, n’a pas bougé depuis le 17 février cent quarante-deux jours d’immobilité, un record historique. Pourtant, aucune alerte n’a été émise, aucun communiqué n’a été publié. Si vous ouvrez l’utilitaire softwareupdate, tout paraît normal. Mais sous le capot, Apple a silencieusement basculé vers une architecture duale de protection, gérée par un nouvel outil en ligne de commande nommé xprotect, qui télécharge ses règles depuis iCloud via un helper privilégié authentifié par la Secure Enclave. Bienvenue dans l’ère « Golden Gate ».
Le silence qui en dit long
Depuis des années, le rythme était métronomique : XProtect (les règles Yara de détection) s’actualisait chaque semaine, XPR (le scanner de remédiation) toutes les quatre à dix-huit semaines. C’était prévisible, documenté, rassurant. Puis, mi-juin 2026, juste après la WWDC, le métronome s’est arrêté. La version 5347 de XProtect, publiée le 2 juin, est restée la dernière en date pendant plus de cinq semaines. Côté XPR, la version 157 du 17 février n’a toujours pas de successeur, pulvérisant le précédent record d’intervalle.
Howard Oakley, sur Eclectic Light Company, a été le premier à pointer cette anomalie le 10 juillet. Ses relevés montrent que les mises à jour XProtect, hebdomadaires depuis dix-huit mois, n’ont été perturbées que par les périodes de fêtes. L’intervalle actuel égale le pire creux de Noël. Quant à XPR, ses 142 jours d’inactivité dépassent largement sa fourchette historique de 30 à 126 jours. Ce n’est pas un oubli : c’est une rupture.
Parallèlement, Apple a publié macOS Tahoe 26.5.1 et iOS 26.5.1 le 1er juin, estampillés « This update has no published CVE entries ». La même mention accompagne les mises à jour 15.7.7 pour macOS Sequoia et 14.8.7 pour macOS Sonoma. En langage clair : ce ne sont pas des correctifs de vulnérabilités connues. Ce sont des changements d’architecture déployés sous couvert de « mises à jour de sécurité sans CVE ».
Deux XProtect, deux canaux, une même machine
Depuis macOS Sequoia (15), votre Mac héberge non plus un mais deux bundles XProtect distincts. Le premier, historique, siège dans /Library/Apple/System/Library/CoreServices/XProtect.bundle et continue d’être mis à jour via le démon softwareupdated — le canal classique des mises à jour système. Le second, nouveau et désormais préféré, occupe un emplacement parallèle géré par l’outil xprotect en ligne de commande et son compagnon privilégié, XProtectRemediatorHelper.
Ce helper s’exécute dans un contexte hautement privilégié, authentifié par la Secure Enclave, et établit une connexion TLS mutuelle vers les serveurs de distribution iCloud pas vers le CDN public d’Apple. La différence est fondamentale : l’ancien canal pousse des mises à jour groupées (batch) selon le calendrier de softwareupdated ; le nouveau permet une distribution continue (push), découplée du cycle de mise à jour du système d’exploitation.
La page de manuel man xprotect, introduite avec macOS Sequoia et Tahoe, documente trois sous-commandes : xprotect status pour inspecter l’état des deux bundles, xprotect update pour forcer une actualisation manuelle du nouveau bundle, et xprotect scan pour lancer un scan à la demande. C’est la première fois qu’Apple expose un outil d’administration de sa protection anti-malware aux administrateurs et utilisateurs avertis.
Pourquoi cette dualité ?
L’architecture historique XProtect/MRT/XPR repose sur un modèle hérité de l’ère Intel : détection par signatures (Yara), remédiation par suppression de fichiers connus, le tout orchestré depuis l’espace utilisateur avec des privilèges élevés. Ce modèle a montré ses limites face aux attaques « ClickFix » qui prolifèrent en 2026 : l’utilisateur est manipulé pour exécuter lui-même un AppleScript malveillant (souvent via Command-R dans un faux terminal), contournant ainsi toute détection de binaire. XProtect ne voit rien, car aucun fichier malveillant n’est écrit sur le disque avant exécution.
La réponse d’Apple ne peut pas être une énième règle Yara. Elle nécessite un changement de paradigme : passer de la détection périodique de fichiers à une vérification continue du comportement, ancrée dans le matériel. C’est là qu’intervient « Golden Gate » le nom de code interne évoqué par Oakley pour désigner la refonte du modèle de sécurité pour Apple Silicon complet.
Golden Gate : le noyau dur de la sécurité Apple Silicon
Le nom de code « Golden Gate » n’apparaît dans aucune documentation publique. Il émerge des observations croisées : l’arrêt simultané des deux canaux de mise à jour, l’introduction de l’outil xprotect avec son helper sécurisé par Secure Enclave, la distribution via iCloud avec TLS mutuel, et les mises à jour « sans CVE » qui modifient l’infrastructure sans corriger de faille référencée.
L’hypothèse technique la plus solide : Golden Gate exploite les primitives matérielles exclusives aux puces Apple Silicon Secure Enclave, démarrage vérifié, mémoire unifiée, extensions de noyau signées Apple pour remplacer le triptyque Gatekeeper + signature de code + SIP (héritage Intel) par un modèle « zero-trust » où chaque exécution de binaire peut déclencher une vérification cloud (avec cache local chiffré). Le containment matériel (isolation via Virtualization Framework + Secure Enclave) remplacerait la détection logicielle pure. XPR serait progressivement remplacé par un « SecurityKit » étendant EndpointSecurity pour les EDR tiers, tandis que les MDM géreraient des « modèles de menace » au lieu de listes blanches/noires.
Ce n’est pas une spéculation gratuite : la documentation développeur XProtect Framework (https://developer.apple.com/documentation/security/xprotect) décrit déjà des API pour l’inspection de code en temps réel, et l’outil xprotect en ligne de commande préfigure l’interface d’administration de ce nouveau modèle.
Ce que cela change pour vous, aujourd’hui
Concrètement, sur un Mac sous macOS Sequoia 15 ou Tahoe 26, vous disposez de deux moteurs de protection actifs. L’ancien continue de recevoir des règles Yara via softwareupdate (quand elles reprennent). Le nouveau, plus réactif, tire ses règles d’iCloud via XProtectRemediatorHelper. Vous pouvez vérifier leur état à tout moment :
`bash xprotect status `
La sortie affiche la version, la date et la source de chaque bundle. Si le nouveau bundle semble périmé, xprotect update force une synchronisation immédiate depuis iCloud. Un xprotect scan ~/Downloads lance un audit à la demande sur un dossier suspect une fonctionnalité inédite pour l’utilisateur final.
Pour les administrateurs de parcs, la dualité impose une vigilance accrue : les profils de configuration MDM qui gèrent les mises à jour de sécurité via softwareupdated ne couvrent plus le nouveau canal. Il faut s’assurer que le trafic vers les serveurs de distribution iCloud (ports 443, TLS mutuel, certificats ancrés dans la Secure Enclave) n’est pas bloqué par un pare-feu d’entreprise mal configuré.
Tableau comparatif : ancien vs nouveau canal XProtect
| Caractéristique | Canal historique (softwareupdated) | Nouveau canal (xprotect + iCloud) | |—————-|————————————–|————————————-| | Emplacement du bundle | /Library/Apple/System/Library/CoreServices/XProtect.bundle | Emplacement parallèle géré par xprotect | | Déclencheur de mise à jour | Calendrier softwareupdated (batch hebdomadaire) | Push continu depuis serveurs iCloud | | Authentification | Certificats Apple standard | TLS mutuel + Secure Enclave | | Outil d’administration | softwareupdate (système) | xprotect (CLI utilisateur/admin) | | Visibilité utilisateur | Aucune (opaque) | xprotect status, xprotect scan | | Résilience aux attaques ClickFix | Faible (signatures statiques) | Potentiellement meilleure (vérif. continue) | | Documentation publique | Notes de mise à jour macOS | man xprotect, page développeur XProtect Framework |
Ce qu’il faut surveiller dans les mois qui viennent
1. Reprise des mises à jour XPR : si le délai dépasse 180 jours sans nouvelle version, cela confirmera l’abandon progressif de l’architecture XPR au profit du modèle Golden Gate. 2. Documentation officielle de xprotect : l’apparition d’une page de support Apple (HTxxxx) dédiée à l’outil CLI signalerait la fin de la phase expérimentale. 3. Extensions EndpointSecurity : les éditeurs EDR tiers (Jamf, Kandji, SentinelOne, CrowdStrike) devront migrer vers les nouvelles API « SecurityKit » si Golden Gate se concrétise. 4. Mises à jour « sans CVE » : chaque occurrence de cette mention dans les notes de version macOS/iOS marquera probablement une brique supplémentaire de l’infrastructure Golden Gate.
En résumé : ce qu’il faut retenir et faire
1. Vérifiez l’état de vos deux XProtect avec xprotect status c’est gratuit, instantané, et ça révèle si le nouveau canal fonctionne. 2. Autorisez le trafic iCloud/TLS mutuel sur vos pare-feux d’entreprise — sans lui, le nouveau canal de protection est coupé. 3. Testez xprotect scan sur les dossiers à risque (Téléchargements, pièces jointes mail) c’est le premier scanner à la demande natif macOS. 4. Suivez les notes de version « sans CVE » elles sont le signal faible en apparence, fortes en réalité architecturale. 5. Anticipez la fin de XPR — si votre stratégie de sécurité repose sur les moteurs de remédiation actuels, préparez la migration vers les API EndpointSecurity étendues.
La protection anti-malware sur Mac ne s’est pas arrêtée : elle a muté. Le silence des mises à jour n’est pas une panne, c’est le bruit d’un changement de moteur en plein vol. Apple ne répare pas une vulnérabilité elle reconstruit la forteresse autour du silicium qu’elle contrôle. C’est ce que « Golden Gate » promet : une sécurité qui ne dépend plus de la fréquence des signatures, mais de la physique de la puce.
Sources
1. Howard Oakley, « Is malware protection changing? », Eclectic Light Company, 10 juillet 2026 — https://eclecticlight.co/2026/07/10/is-malware-protection-changing/ 2. Apple Support, « Apple security releases », HT201222 — entrées macOS Tahoe 26.5.1, iOS 26.5.1, macOS Sequoia 15.7.7, macOS Sonoma 14.8.7 (« This update has no published CVE entries ») — https://support.apple.com/en-us/100100 3. Apple Developer, man xprotect (page de manuel macOS Sequoia/Tahoe) — documentation de l’outil CLI xprotect status, xprotect update, xprotect scan 4. Apple Developer Documentation, XProtect Framework — https://developer.apple.com/documentation/security/xprotect
Versions et matériels concernés : macOS Sequoia 15.x, macOS Tahoe 26.x, Mac à puce Apple Silicon (M1 à M5), Secure Enclave requise pour le helper XProtectRemediatorHelper.
Deux évènements marquants de la veille sécurité Apple rythment ce bulletin du 16 juillet 2026. D’un côté, les chercheurs de Jamf Threat Labs ont publié le 13 juillet 2026 une analyse détaillée d’un voleur d’informations (« infostealer ») inédit pour macOS, baptisé CrashStealer, qui usurpe l’apparence de l’outil de rapport d’erreurs d’Apple pour dérober trousseaux, mots de passe et portefeuilles de cryptomonnaies.
De l’autre, l’expert reconnu Howard Oakley, sur The Eclectic Light Company, a documenté le 15 juillet 2026 la sortie de la mise à jour XProtect 5351, la première depuis le 2 juin — un intervalle inhabituellement long qui prend fin avec l’ajout de six nouvelles règles Yara, dont plusieurs visent la famille de « stealers » Boatload.
Ces deux annonces se lisent conjointement : XProtect, la protection anti-malware intégrée à macOS, se remet en marche au moment même où une nouvelle famille de voleurs d’identifiants passe en phase active. Le message pour l’utilisateur est simple : vérifier que sa protection est à jour, et adopter des réflexes de vigilance renforcés face aux images-disque (DMG) reçues par des canaux inhabituels.
Éléments impactés
Systèmes concernés par CrashStealer : macOS (tous systèmes actuellement supportés, la mécanique de persistance et de vol s’appuyant sur des API standard macOS).
Composant de protection concerné par la mise à jour : XProtect, la brique anti-malware intégrée à macOS (fichier de signatures Yara).
Version corrective XProtect publiée : 5351 (précédente : 5347, datée du 2 juin 2026).
Date de publication observée par l’analyste : 2026-07-15.
Livraison : automatique via Mise à jour de Logiciels et via iCloud sur macOS Sequoia, macOS Tahoe et macOS Golden Gate.
Les chercheurs de Jamf ont d’abord détecté CrashStealer en mai 2026, à l’état de développement ; les premières détections « en conditions réelles » remontent à début juillet 2026, marquant son passage à un usage actif par des attaquants.
Chaîne d’infection observée :
L’attaque débute par une image-disque (DMG) nommée « Werkbit Setup », hébergée sur le domaine werkbit[.]io. L’accès au téléchargement est protégé par un code de type « code de réunion », ce qui limite la diffusion aux victimes déjà ciblées.
Le DMG contient une application unique, Werkbit.app, dont l’exécutable interne se nomme veltod. Fait notable, le DMG lui-même est signé, en plus de l’application qu’il contient — pratique inhabituelle dans les campagnes malveillantes.
La signature utilise l’identifiant développeur « Emil Grigorov (WWB7JA7AQV) » et embarque un ticket de notarisation valide. Cette combinaison permet de passer sans blocage la validation initiale de Gatekeeper, la protection macOS contre les logiciels non fiables. Jamf indique avoir signalé ce Team ID à Apple.
Une fois lancé, veltod contacte un dépôt GitHub, télécharge un script qui à son tour récupère l’archive CrashReporter.dmg. Cette dernière contient la charge finale, copiée dans un dossier caché, dont le nom, l’icône et l’identifiant de bundle imitent le composant Apple CrashReporter.
Le programme affiche alors une fausse fenêtre de mot de passe qui reproduit l’apparence d’une invite système. Il valide localement l’authentification via la commande macOS dscl avant de poursuivre.
Une fois le mot de passe obtenu, CrashStealer déverrouille le trousseau (Keychain) et exfiltre ses données, puis collecte les profils de navigateurs Chromium (Chrome, Edge, Brave…) et les identifiants Firefox, les données d’environ 80 extensions de portefeuilles de cryptomonnaies (MetaMask, Phantom, Coinbase Wallet, Trust Wallet, Exodus…), les stockages de 14 gestionnaires de mots de passe (1Password, Bitwarden, LastPass, Dashlane, Keeper…) et une sélection de fichiers dans les dossiers Documents, Téléchargements.
Les fichiers collectés sont chiffrés individuellement en AES-256-GCM, regroupés dans des archives ZIP masquées, puis exfiltrés vers un serveur de commande via la bibliothèque réseau libcurl.
La persistance est assurée par une copie du binaire réappliquée avec une signature ad hoc, installée comme LaunchAgent sous le nom com.apple.crashreporter.helper, ce qui déclenche le lancement à chaque ouverture de session utilisateur.
Signature technique distinctive : CrashStealer est écrit en C++ natif (autour d’une classe interne nommée MacOSData), alors que la plupart des stealers commodités de l’écosystème macOS reposent sur des scripts AppleScript ou des enveloppes Objective-C minces. Il embarque également des techniques anti-analyse : aplatissement du flot de contrôle, chiffrement des chaînes de caractères, et détection de débogueur en plusieurs points du démarrage.
Gravité : Jamf ne publie pas de score CVSS pour cette menace (Je ne sais pas.). La combinaison signature Developer ID valide + notarisation + ciblage de trousseau et portefeuilles cryptos en fait néanmoins une menace de premier plan pour tout utilisateur qui manipule des cryptomonnaies, des mots de passe sensibles ou des identifiants professionnels.
Recommandations :
Ne jamais monter et exécuter un fichier .dmg reçu par un canal inhabituel (invitation de « réunion » avec un code de téléchargement, lien inattendu, fichier partagé sans contexte).
Se méfier de toute invite de mot de passe apparaissant hors du contexte système habituel, en particulier si elle est demandée par un installeur récent.
Vérifier périodiquement les LaunchAgents installés (dossier ~/Library/LaunchAgents/) et supprimer toute entrée suspecte, notamment com.apple.crashreporter.helper — le vrai composant Apple ne porte pas ce nom.
Consulter le rapport Jamf pour la liste complète des indicateurs de compromission (IOC), hashes de fichiers, noms de domaines et artefacts laissés sur disque.
Article 2 — Eclectic Light Company : mise à jour XProtect 5351
Source : The Eclectic Light Company (Howard Oakley) | Publication : 2026-07-15
Après une pause de 43 jours depuis la version 5347 publiée le 2 juin 2026, Apple a publié le 15 juillet 2026 la mise à jour XProtect 5351. Comme à son habitude, Apple ne détaille pas publiquement les problèmes de sécurité couverts par cette mise à jour. L’analyse indépendante du fichier de règles Yara publiée par Howard Oakley révèle néanmoins :
Six nouvelles règles Yara ajoutées pour les familles : MACOS.ANGRYORB.OX, MACOS.BOATLOAD.STCRST, MACOS.BOATLOAD.PRIN, MACOS.BOATLOAD.PEME, MACOS.VSHELL.DITA, MACOS.VSHELL.DR.
Une modification des règles existantes pour MACOS.MISOMAGIC.PA.
Un ajustement d’espacement pour MACOS.SOMA.STTX.
Concernant le fichier XPScripts.yr (règles pour scripts osascript, souvent utilisés par les attaques par ingénierie sociale) : 14 nouvelles règles, plus des amendements pour MACOS.OSASCRIPT.TIPA, MACOS.OSASCRIPT.SYPR, MACOS.OSASCRIPT.TADE et MACOS.OSASCRIPT.REOB.
Howard Oakley note que la famille Boatload, à en juger par la structure des règles Yara ajoutées, correspond très vraisemblablement à un voleur d’informations (« stealer »). Cette observation entre en résonance directe avec l’analyse Jamf publiée deux jours plus tôt sur CrashStealer, sans qu’un lien formel puisse être établi à ce stade (Je ne sais pas.).
Vérification et forçage de la mise à jour :
Ouvrir Informations Système via À propos de ce Mac, puis rubrique Logiciels > Installations pour retrouver la trace de XProtectPlistConfigData_10_15-5351.
Sur macOS Sequoia, Tahoe et Golden Gate, la commande Terminal sudo xprotect check (puis mot de passe administrateur) affiche la version installée ; sudo xprotect update force le rafraîchissement si nécessaire.
L’utilitaire tiers SilentKnight (Howard Oakley) permet également de forcer l’installation via son étiquette dédiée XProtectPlistConfigData_10_15-5351.
Gravité : Apple ne publie pas d’évaluation officielle de sévérité pour les mises à jour XProtect (Je ne sais pas.). L’ajout de règles Yara actives et l’intervalle inhabituellement long depuis la précédente mise à jour justifient toutefois une installation rapide.
Vulgarisation
XProtect est le module de protection anti-malware intégré à macOS. Il fonctionne comme un antivirus « silencieux » qui vérifie chaque application avant son premier lancement à la recherche de signatures de menaces connues. Ces signatures prennent la forme de « règles Yara », un langage standardisé pour décrire les caractéristiques d’un fichier malveillant. Apple met à jour ces règles en arrière-plan sans notification à l’utilisateur — d’où l’utilité d’outils comme SilentKnight ou de la commande sudo xprotect check pour vérifier ce qui est réellement en place.
Un infostealer est un logiciel malveillant conçu pour dérober des informations sensibles : mots de passe stockés dans le navigateur, contenu du trousseau macOS, clés privées de portefeuilles de cryptomonnaies, cookies de session. Contrairement à un rançongiciel qui bloque l’accès aux données, l’infostealer opère discrètement et exfiltre son butin vers un serveur contrôlé par les attaquants.
La particularité de CrashStealer est qu’il passe la validation Gatekeeper : il est signé avec un identifiant développeur Apple et bénéficie d’un ticket de notarisation valide. Cela signifie qu’Apple a délivré, dans un premier temps, une autorisation formelle à cet éditeur, sans savoir qu’il produirait un logiciel malveillant. Une fois la fraude découverte, Apple révoque généralement l’identifiant, ce qui empêche les nouvelles exécutions ; les copies déjà installées peuvent en revanche continuer à fonctionner jusqu’à ce que XProtect ajoute la règle Yara correspondante — d’où l’importance du lien entre les deux évènements de ce bulletin.
Comment se protéger
Sur Mac : Réglages Système > Général > Mise à jour de Logiciels, puis vérifier que les mises à jour système et de sécurité automatiques sont activées.
Vérifier la version de XProtect installée : ouvrir le Terminal et taper sudo xprotect check (nécessite votre mot de passe administrateur). Elle doit être 5351 ou plus récente.
Ne pas monter d’image-disque .dmg reçue d’un contact inconnu ou via un lien inattendu, y compris quand elle prétend venir d’un service légitime.
Réviser périodiquement les LaunchAgents installés dans ~/Library/LaunchAgents/ et /Library/LaunchAgents/.
Pour un audit approfondi : utiliser un outil de vérification comme SilentKnight (Eclectic Light Company) ou KnockKnock (Objective-See Foundation), tous deux gratuits et développés par des chercheurs macOS reconnus.
Tableau des références
Titre de la page
URL officielle
Date de publication
CrashStealer: A Native macOS Infostealer Impersonating Apple’s Crash Reporter
Avis de non-responsabilité : Cette publication est générée automatiquement à des fins purement informatives. Bien que les données soient issues de veilles technologiques, elles ne sauraient se substituer aux publications officielles. Pour toute décision relative à la sécurité de vos systèmes, il convient de vérifier et de valider les informations fournies en consultant directement les bulletins officiels du NIST (National Institute of Standards and Technology) et d’Apple Security.
macOS est composé de très nombreux fichiers, ils sont tous nécessaires au bon fonctionnement du système. Parmi ces milliers de fichiers quelque uns sont liés à la sécurité du système et protège votre Mac des malwares et autres tentatives d’attaques de votre ordinateur.
MRT :
Le Malware Removing Tool (MRT) est l’outil proposé par Apple pour supprimer les malwares détectés par macOS.
Il est disponible dans le dossier System : /System/Library/CoreServices/MRT.app(ou Système > Bibliothèque > CoreServices > MRT.app)
(Dernière version : 1.35, mise à jour le 28/08/2018)
Xprotect :
La protection anti-malward intégrée de Mac OS X porte le nom de « XProtect », une fonctionnalité intégrée à la gestion sous « Quarantaine » des fichiers. Cette fonctionnalité a été ajoutée en 2009 à Mac OS X 10.6 Snow Leopard.
Lorsque vous ouvrez une application téléchargée depuis Internet à l’aide d’une application comme Safari, Chrome, Mail ou Messages, une fenêtre d’avertissement vous informe que l’application a été téléchargée sur le Web avec le site Web spécifique.
C’est le rôle d’XProtect de vous alerter mais aussi d’empêcher certaines applications de se lancer.
Deux fichiers sont disponibles :
/System/Library/CoreServices/XProtect.bundle/Contents/Resources/XProtect.meta.plist
et
/System/Library/CoreServices/XProtect.bundle/Contents/Resources/XProtect.plist.
Le plus simple pour en voir le contenu est d’utiliser la commande open dans le Terminal:
La liste de Plugins interdits (PluginBlacklist) est accessible , on y trouve des versions de Flash (Adobe) et java.
Par exemple, la version de silverlightplugin minimum sera la 5.1.41212.0, en dessous de cette version, elle ne sera pas opérationnelle.
Le second avec la liste des malwares :
Ces fichiers contiennent les listes des éléments interdits sur Mac !
Gatekeeper Configuration Data
GateKeeper, vérifie la signature des applications et maintient une liste des applications corrompues ou celles qui ont une signature non valide.
C’est une petite base de données qui contient la liste des applications autorisées ou rejetées :
/private/var/db/gkopaque.bundle/Contents/Resources/gkopaque.db
[code]
$ open /private/var/db/gkopaque.bundle/Contents/Resources/
[/code]
Cette ligne de commande, vous mènera jusqu’à la base de données.
C’est le rôle d’XProtect de vous alerter mais aussi d’empêcher certaines applications de se lancer.
