🔒Открыть пост
и посмотреть медиа
и посмотреть медиа
Исследователи: «Любое приложение на Mac можно тихо подменить». Apple: «Нас всё устраивает»
27 июля. / securitylab.ru /. Исследователи обнаружили способ незаметно заменить доверенное приложение для macOS вредоносной копией после того, как пользователь хотя бы один раз его запустил. Система Gatekeeper при повторном открытии может не показать предупреждение, хотя основной исполняемый файл программы уже изменён.
Проблему описали специалисты Талал Хадж Бакри и Томми Мыск. По их данным, атака распространяется на приложения, загруженные из интернета, но не на программы из Mac App Store. В качестве потенциальных целей исследователи называют Brave, Slack, Signal, Visual Studio Code и другие приложения, которые пользователи обычно скачивают с сайтов разработчиков.
Gatekeeper должен проверять программы, распространяемые за пределами магазина Apple. При первом запуске macOS определяет, подписано ли приложение известным разработчиком, прошло ли оно нотариальную проверку Apple и не было ли изменено после подписания. Пользователь также получает предупреждение о том, что программа загружена из интернета.
Для проведения атаки злоумышленнику уже требуется возможность запускать команды с правами текущего пользователя. Получить её можно через вредоносное приложение, загруженный сценарий, команду, которую человека убедили вставить в Терминал, или скомпрометированный пакет из стороннего менеджера программ.
Пользователям стоит устанавливать приложения из Mac App Store, когда нужная версия там доступна, и осторожно относиться к командам для Терминала из писем, сайтов и ответов ИИ-сервисов. Неожиданный запрос знакомой программы на доступ к Связке ключей, записи экрана или защищённым папкам также не следует подтверждать автоматически.
Если приложение ведёт себя необычно, безопаснее удалить его и загрузить новую копию непосредственно с официального сайта разработчика. Простая переустановка поверх существующего пакета может оказаться недостаточной, если его содержимое уже было заменено.
Итак, исследование показывает, что первая успешная проверка приложения не гарантирует его неизменность в дальнейшем. Gatekeeper хорошо контролирует момент загрузки и первоначального запуска, но в описанном сценарии не мешает вредоносному процессу заменить уже одобренную программу и использовать её репутацию против владельца Mac.
📲 Подписывайтесь на наш канал в МАХ!