Wanneer Apple heeft de nieuwste versie 11.3 voor macOS uitgebracht op maandag introduceerde het niet alleen ondersteuning voor nieuwe functies en optimalisaties. Wat nog belangrijker is, is dat het bedrijf een zero-day-kwetsbaarheid heeft opgelost die hackers actief misbruikten om malware te installeren zonder de belangrijkste Mac-beveiligingsmechanismen te activeren, waarvan sommige al meer dan tien jaar bestonden.

Samen bieden de verdedigingen een uitgebreide reeks beveiligingen die zijn ontworpen om te voorkomen dat gebruikers per ongeluk malware op hun Macs installeren. Terwijl een klik en zelfs Nul-klik exploits krijgen terecht veel aandacht, het is veel gebruikelijker om getrojaniseerde apps te zien die malware vermommen als een game, update of ander gewenst stukje software.

Gebruikers tegen zichzelf beschermen

De technici van Apple weten dat trojans een grotere bedreiging vormen voor de meeste Mac-gebruikers dan meer geavanceerde exploits die heimelijk malware installeren met minimale of geen interactie van gebruikers. Een kernonderdeel van Mac-beveiliging berust dus op drie gerelateerde mechanismen:

• Bestandsquarantaine vereist expliciete gebruikersbevestiging voordat een van internet gedownload bestand kan worden uitgevoerd.
• gatekeeper blokkeert de installatie van apps, tenzij ze zijn ondertekend door een bij Apple bekende ontwikkelaar.
• Verplicht App-notarisatie staat toe dat apps pas worden geïnstalleerd nadat Apple ze heeft gescand op malware.

Eerder dit jaar begon een stukje malware dat bekend is bij Mac-beveiligingsexperts, misbruik te maken van een kwetsbaarheid waardoor het alle drie de mechanismen volledig kon onderdrukken. Het heet Shlayer en heeft een indrukwekkend record in de drie jaar sinds het verscheen.

Zo slaagde het er afgelopen september in om slagen voor de beveiligingsscan dat Apple vereist dat apps notarieel worden bekrachtigd. Twee jaar geleden werd het geleverd in een uitgekiende campagne die: gebruikte nieuwe steganografie malwaredetectie te omzeilen. En vorig jaar zei Kaspersky dat Shlayer de... meest gedetecteerde Mac-malware door de producten van het bedrijf, met bijna 32,000 verschillende varianten geïdentificeerd.

Slimme ontwijking

Shlayer's exploitatie van de zero-day, die niet later dan januari begon, was opnieuw een indrukwekkende prestatie. In plaats van de standaard te gebruiken Macho formaat voor een uitvoerbaar Mac-bestand, het uitvoerbare onderdeel in deze aanval was het macOS-equivalent van een bash-script, dat een reeks regelopdrachten in een bepaalde volgorde uitvoert.

Normaal gesproken worden scripts die van internet zijn gedownload geclassificeerd als applicatiebundels en zijn onderworpen aan dezelfde vereisten als andere typen uitvoerbare bestanden. Een simpele hack zorgde er echter voor dat scripts volledig aan die vereisten konden ontsnappen.

Door het verwijderen van de info.plist-een gestructureerd tekstbestand dat de locatie toewijst van bestanden waarvan het afhankelijk is - het script is niet langer geregistreerd als een uitvoerbare bundel voor macOS. In plaats daarvan werd het bestand behandeld als een PDF of een ander type niet-uitvoerbaar bestand dat niet onderhevig was aan Gatekeeper en de andere mechanismen.

Een van de aanvallen begon met de weergave van een advertentie voor een valse Adobe Flash-update:

De video's hieronder laten zien wat een groot verschil de exploit maakte toen iemand het aas pakte en op downloaden klikte. De video direct hieronder laat zien wat de kijker zag zonder de beperkingen. De onderstaande die laat zien hoeveel verdachter de update eruit zou hebben gezien als de beperkingen van kracht waren geweest.

De bug, die wordt bijgehouden als CVE-2021-30657, werd ontdekt en gerapporteerd aan Apple door beveiligingsonderzoeker Cedric Owens. Hij zei dat hij het tegenkwam toen hij een ontwikkelaarstool genaamd Appify gebruikte terwijl hij onderzoek deed voor een "red team" -oefening, waarbij hackers een echte aanval simuleren in een poging om eerder over het hoofd gezien zwakke punten in de beveiliging te vinden.

"Ik ontdekte dat Appify in staat was om een ​​shellscript om te zetten in een dubbelklikbare 'app' (eigenlijk gewoon een shellscript in de macOS-app-directorystructuur, maar macOS behandelde het als een app)", schreef hij in een direct bericht. “En wanneer het wordt geëxecuteerd, omzeilt het Gatekeeper. Ik heb het eigenlijk vrij snel gemeld nadat ik het had ontdekt en heb het niet gebruikt in een live rode teamoefening.

Apple de kwetsbaarheid opgelost met de release van macOS 11.3 op maandag. Owens zei dat de fout lijkt te bestaan ​​sinds de introductie van macOS 10.15 in juni 2019, toen de notariële bekrachtiging werd ingevoerd.

Owens besprak de bug met Patrick Wardle, een Mac-beveiligingsexpert die eerder werkte bij Jamf, een Mac-bedrijfsbeveiligingsprovider. Wardle nam vervolgens contact op met Jamf-onderzoekers, die de Shlayer-variant ontdekten die misbruik maakte van de kwetsbaarheid voordat deze bekend was bij Apple of het grootste deel van de beveiligingswereld.

"Een van onze detecties bracht ons op de hoogte van deze nieuwe variant, en bij nadere inspectie ontdekten we het gebruik van deze bypass, zodat deze kan worden geïnstalleerd zonder een prompt van de eindgebruiker", vertelde Jamf-onderzoeker Jaron Bradley me. "Nadere analyse doet ons vermoeden dat de ontwikkelaars van de malware de zeroday hebben ontdekt en hun malware hebben aangepast om deze begin 2021 te gebruiken."

Wardle ontwikkelde een proof-of-concept exploit die liet zien hoe de Shlayer-variant werkte. Nadat het van internet is gedownload, verschijnt het uitvoerbare script als een PDF-bestand met de naam Patrick's Resume. Zodra iemand op het bestand dubbelklikt, wordt een bestand met de naam calculator.app gestart. De exploit kan net zo gemakkelijk een kwaadaardig bestand uitvoeren.

In een 12,000 woorden diepe duik die ingaat op de oorzaken en gevolgen van de exploits, concludeerde Wardle:

Hoewel deze bug nu is gepatcht, illustreert het duidelijk (nogmaals) dat macOS niet ongevoelig is voor ongelooflijke oppervlakkige, maar enorm impactvolle fouten. Hoe ondiep? Welnu, het feit dat een legitieme ontwikkelaarstool (appify) per ongeluk de bug zou activeren, is meer dan lachwekkend (en triest).

En hoe impactvol? In wezen werd macOS-beveiliging (in de context van het evalueren van door gebruikers gelanceerde applicaties, die zich herinneren, verantwoordelijk zijn voor de overgrote meerderheid van macOS-infecties) volledig ter discussie gesteld.

Bradley publiceerde een post die vertelde hoe de exploit eruitzag en werkte.

Veel mensen beschouwen malware zoals Shlayer als ongekunsteld omdat het erop vertrouwt dat de slachtoffers worden misleid. Om Shlayer zijn verdienste te geven, is de malware zeer effectief, grotendeels vanwege het vermogen om macOS-verdediging te onderdrukken die is ontworpen om gebruikers te tippen voordat ze zichzelf per ongeluk infecteren. Degenen die willen weten of ze het doelwit zijn van deze exploit, kunnen downloaden dit python-script geschreven door Wardle.