Les malandrins qui essayent de vous arnaquer ont visiblement trouvé un bon filon, dont nous parlions déjà il y a quelques semaines : les fausses apps distribuées sur GitHub. Une simple recherche sur le mot macOS donne en effet d'innombrables résultats, avec de nombreuses copies d'apps.
Les apps en question sont des copies d'apps légitimes, qui ne sont pas open source au départ, et elles servent à appâter le chaland, pour transmettre un malware. Attention, les liens suivants envoient vers de fausses apps : ne tentez pas de les installer ! On trouve par exemple OmniGraffle (vendu 150 $), Ulysse, Cubase, Transmit ou même Logic Pro… pour Windows. Oui, le logiciel professionnel d'Apple qui n'existe que pour macOS et iPadOS. Dans les autres logiciels Apple, on trouve aussi Final Cut Pro X, par exemple.
Malware : comment repérer et éviter les fausses apps Mac sur GitHub
Soyons clairs sur un point : les apps en question n'existent pas. Ce sont des pièges pour les utilisateurs crédules. Elles ne proposent même pas un fichier .dmg à télécharger et les développeurs de ces arnaques n'ont même pas essayé de créer réellement de fausses apps : dans toutes celles que nous avons pu voir, l'installation consiste à taper une commande dans le terminal, qui va permettre d'installer un malware.
Comment détecter les fausses apps ?
Premièrement, si c'est trop beau pour être vrai, c'est trop beau pour être vrai. Un Final Cut Pro X gratuit sur GitHub alors qu'Apple le vend 350 €, c'est évidemment une arnaque. Deuxièmement, si vous cherchez une application, votre réflexe de base doit être d'aller sur le Mac App Store (qui est plutôt sûr) ou éventuellement sur le site du développeur, quand il ne distribue pas son app sur le Mac App Store. Troisièmement, même si c'est tentant pour votre portefeuille, il faut éviter de chercher des apps crackées. Si vous trouvez que Final Cut Pro X (pour garder le même exemple) est trop cher, vous pouvez chercher des alternatives moins onéreuses plutôt que d'essayer de dénicher une version piratée.
Enfin, et c'est probablement le plus important, soyez encore plus prudent que d'habitude sur les apps qui vous demandent des manipulations inhabituelles. Abandonnez directement si une app vous demande d'effectuer une installation en ligne de commande1, si une fenêtre qui vous demande votre mot de passe apparaît ou même si le développeur vous explique que son app n'est pas signée et qu'il faut donc réduire la sécurité de macOS pour la lancer2. Si vous avez un doute, suivez votre intuition et passez à autre chose.
-
Oui, nous sommes au courant que des services comme Brew fonctionnent sur ce principe. Mais si vous utilisez Brew, vous devriez être capable de détecter une arnaque de ce type. ↩︎
-
Il peut arriver que des applications open source soient dans le cas, car le développeur ne veut pas payer la dîme d'Apple. ↩︎
