Bezpečnostní výzkumníci popsali způsob, jak na macOS tiše nahradit spustitelný soubor důvěryhodné aplikace stažené z webu škodlivou verzí, aniž by si toho systém všiml. Apple problém posoudil a rozhodl se ho neopravit. Útok ale vyžaduje, aby útočník už měl na Macu možnost spouštět vlastní kód, takže pro běžného uživatele s opatrným chováním zůstává riziko nízké.
Úvod
Dvojice bezpečnostních výzkumníků Talal Haj Bakry a Tommy Mysk, kteří dlouhodobě publikují analýzy soukromí a zabezpečení na platformách Apple, zveřejnila na svém blogu popis techniky, jak potichu vyměnit hlavní spustitelný soubor aplikace stažené z webu za upravenou, škodlivou verzi. Zjištění následně nezávisle potvrdilo hned několik dalších bezpečnostních médií, a jde tak o solidně ověřenou zprávu, ne o jednu izolovanou spekulaci.
Stejná dvojice stojí i za dřívějším nálezem týkajícím se App Sandboxu, TCC a nástroje Archive Utility, takže v oblasti macOS bezpečnosti mají za sebou delší historii podobných analýz.
Jak útok funguje
macOS aplikaci označí za důvěryhodnou poté, co poprvé projde kontrolou Gatekeeperu, tedy ověřením podpisu a notarizace. Podle výzkumníků se ale tato kontrola při každé další změně obsahu aplikace neopakuje spolehlivě: jednou získaná důvěra zůstává systémem cachovaná i ve chvíli, kdy se balíček aplikace uvnitř změní.
Prakticky to znamená, že jde nejprve smazat původní spustitelný soubor a nahradit ho upravenou variantou, dodanou například jako archiv, aniž by systém tuto změnu balíčku vyhodnotil jako neautorizovaný zásah. Přesné technické detaily záměrně nepopisujeme podrobněji: šlo by fakticky o návod, a smyslem tohoto textu je vysvětlit princip a riziko, ne poskytnout postup.
Podstatné je, že technika funguje jen u aplikací stažených mimo Mac App Store. Aplikace instalované z App Storu vlastní systémový účet root, takže je proces běžící pod účtem přihlášeného uživatele přepsat nemůže.
Kdo je skutečně ohrožen
Nejdůležitější podmínka celého útoku bývá v podobných zprávách snadno přehlédnutá: útočník musí mít na Macu už předem možnost spouštět vlastní kód pod účtem přihlášeného uživatele, například prostřednictvím škodlivé aplikace nebo staženého skriptu. Nejde tedy o vzdálenou, takzvanou zero-click zranitelnost, kterou by šlo zneužít bez jakékoli interakce nebo předchozího kompromitování zařízení.
Server Macworld k tomu dodává vyvažující pohled: technika vyžaduje tolik navazujících kroků, že reálné nakažení běžného uživatele je nepravděpodobné. Jde o výzkumný nález a demonstraci principu, ne o zdokumentovanou kampaň, která by v praxi aktivně kolovala.
Prakticky se tak riziko týká hlavně scénářů, kde už útočník získal nějaký počáteční přístup k běhu kódu na cizím Macu, ať už přes falešnou aktualizaci prohlížeče, podvodný instalátor nebo phishingovou zprávu. O jednom z takových vektorů, kampani ClickFix, jsme psali v samostatném textu: právě tímto způsobem si útočníci nejčastěji zajišťují prvotní přístup, na který by popsaná technika mohla navazovat.
Jak zareagoval Apple
Podle výzkumníků i navazujících zpráv Apple zranitelnost posoudil a rozhodl se ji standardní bezpečnostní opravou neřešit. Server The Register cituje Applovo zdůvodnění: přepsáním celého balíčku se z aplikace stává takzvaně lokálně sestavená, a tedy mimo rozsah kontroly, kterou Gatekeeper běžně poskytuje u softwaru staženého z internetu.
Výzkumníci s touto interpretací nesouhlasí. Podle nich jde o slabinu přímo v samotné validaci důvěry, ne o hranici, kterou by mělo smysl takto obcházet. Přesnější tedy je mluvit o rozporu mezi Applem a autory nálezu, ne o uzavřené, jednoznačně vyřešené záležitosti: Apple problém nepovažuje za dostatečně závažný na mimořádnou opravu, výzkumníci s tímto hodnocením nesouhlasí.
Co to znamená pro české uživatele
Pro uživatele v Česku platí stejná doporučení jako kdekoli jinde, protože jde o technický problém platformy, ne o regionální specifikum. Praktická obrana zůstává jednoduchá:
– Aplikace stahovat přednostně z Mac App Storu, kde riziko popsané výměny binárky prakticky odpadá.
– Pokud aplikace z App Storu dostupná není, stahovat ji přímo z webu ověřeného vývojáře, ne z třetích stránek nebo z odkazů v e-mailech a SMS.
– U podezřelých zpráv ověřovat skutečnou adresu odesílatele a cílovou URL, například přidržením kurzoru nad odkazem před kliknutím.
– Nespouštět instalátory nebo skripty nabízené jako „aktualizace prohlížeče“ na neznámých webech: přesně tento typ podvodu bývá prvním krokem, který útočníkovi otevře cestu ke spuštění vlastního kódu na zařízení.
Systém aktualizací macOS na těchto doporučeních nic nemění, protože Apple žádnou opravu k této konkrétní zranitelnosti nevydal.
Závěr
Výzkum ukazuje reálnou mezeru v tom, jak macOS ověřuje důvěryhodnost aplikací po jejich prvním spuštění, a Apple se ji rozhodl neopravit navzdory nesouhlasu autorů nálezu. Pro drtivou většinu uživatelů ale zůstává klíčová podmínka: útočník už musí mít možnost spouštět kód na jejich Macu. Kdo drží software z Mac App Storu nebo od ověřených vývojářů a je obezřetný u odkazů a instalátorů z neznámých zdrojů, se s reálným dopadem této techniky v praxi pravděpodobně nesetká.
