Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
I ricercatori Talal Haj Bakri e Tommy Mysk hanno scoperto che qualsiasi applicazione su macOS può essere sostituita con una copia dannosa senza avvisi da parte del Gatekeeper, se già avviata almeno una volta. Il problema riguarda le app scaricate da Internet, non quelle del Mac App Store.
I ricercatori hanno scoperto un modo per sostituire silenziosamente un’applicazione attendibile per macOS con una copia dannosa dopo averla avviata almeno una volta. Il sistema Gatekeeper potrebbe non mostrare un avviso alla riapertura, anche se il file eseguibile principale del programma è già stato modificato.
Il problema è stato descritto dagli specialisti Talal Haj Bakri e Tommy Mysk. Secondo loro l’attacco riguarda le applicazioni scaricate da Internet, ma non i programmi del Mac App Store. I ricercatori indicano come potenziali bersagli Brave, Slack, Signal, Visual Studio Code e altre applicazioni che gli utenti in genere scaricano dai siti degli sviluppatori.
Il Gatekeeper deve controllare i programmi distribuiti al di fuori dell’Apple Store. Quando la avvii per la prima volta, macOS determina se l’app è firmata da uno sviluppatore affidabile, è stata autenticata da Apple e non è stata modificata da quando è stata firmata. L’utente riceve anche un avviso che il programma è stato scaricato da Internet.
Per effettuare un attacco, un utente malintenzionato deve già poter eseguire comandi con i diritti dell’utente corrente. Può essere ottenuto tramite un’applicazione dannosa, uno script scaricato, un comando che una persona è convinta di incollare nel Terminale o un pacchetto compromesso da un gestore di programmi di terze parti.
Pertanto, la scoperta non consente l’hacking remoto di un Mac con una singola richiesta e non si applica agli attacchi senza la partecipazione dell’utente. Tuttavia, aiuta il malware già in esecuzione a prendere piede sotto le spoglie di un programma familiare e aumenta la probabilità che il proprietario del computer si fidi delle richieste.
L’attacco parte da un’applicazione che non viene scaricata dal Mac App Store e che ha già superato il primo controllo del Gatekeeper. I ricercatori lo hanno archiviato utilizzando l’utilità tar, hanno eliminato la directory originale e ripristinato una copia modificata con al suo posto un file eseguibile diverso.
Dopo tale sostituzione, macOS ha avviato l’applicazione modificata senza ripetuti avvisi relativi a una firma danneggiata o a uno sviluppatore sconosciuto. Il codice dannoso è stato eseguito sotto il nome e l’icona di un programma di cui l’utente si era precedentemente fidato.
La normale modifica dei file all’interno di un pacchetto firmato dovrebbe violare l’integrità della firma digitale. La documentazione Apple indica che la modifica del programma dopo la firma invalida la firma e dovrebbe essere rilevata dagli strumenti di verifica.
I ricercatori suggeriscono che il motivo del comportamento potrebbe essere correlato al risultato salvato del primo test. Dopo un avvio riuscito, il sistema ricorda l’applicazione come attendibile e, quando l’intero pacchetto viene successivamente ripristinato, non sempre lo valuta allo stesso modo di un nuovo file scaricato da Internet.
Le app del Mac App Store sono più difficili da sostituire in questo modo. Sono installati con proprietà root, quindi un normale processo in esecuzione mentre l’utente non può sovrascrivere le proprie directory senza aumentare i privilegi. Le applicazioni che vengono trasferite in modo indipendente nella cartella “Programmi” dopo il download dal sito appartengono solitamente all’utente stesso.
Il programma contraffatto non ottiene automaticamente l’accesso a tutti i dati macOS protetti. Potrebbe aver bisogno di autorizzazioni di sistema separate per leggere portachiavi, desktop, documenti, fotocamera o microfono. Tuttavia, la richiesta sembrerà mostrata da un’applicazione installata da molto tempo, quindi è più facile per una persona confonderla con un’applicazione legittima.
Ad esempio, una copia dannosa di un programma di messaggistica istantanea o di un browser potrebbe richiedere l’accesso a cartelle, password o registrazione dello schermo. L’utente vedrà un nome e un’icona familiari e potrebbe non rendersi conto che l’applicazione vera e propria è già stata rimossa e sostituita da un altro pacchetto.
Bakri e Mysk hanno segnalato il risultato ad Apple, ma la società non ha ritenuto che il comportamento descritto richiedesse una correzione. Secondo la spiegazione fornita ai ricercatori, l’archiviazione e il ripristino non sono considerati come una modifica del file eseguibile firmato, ma come una sostituzione completa dell’applicazione con un pacchetto creato localmente.
Le applicazioni create localmente non superano tutti i controlli applicati ai programmi con un attributo di quarantena ricevuti da Internet. Apple classifica anche la persuasione di un utente a confermare autorizzazioni aggiuntive come ingegneria sociale, cosa che non considera una violazione della sicurezza di Gatekeeper.
La tecnica stessa viene scoperta
Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione.
Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica.
C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale.
Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/