Специалист компании Malwarebytes обнаружил уязвимость в macOS

Томас Рид (Thomas Reed), руководитель отдела разработки ПО для Mac и мобильных платформ компании Malwarebytes, рассказал об уязвимости операционной системы macOS. Эксплойт позволяет вредоносному ПО долгое время оставаться незамеченным и заражать другие приложения. Сообщений о реальном использовании уязвимости не поступало, однако исследователь заявляет, что реализация необходимого кода доступна даже начинающим.

Технические подробности

Операционная система macOS проверяет цифровую подпись файлов приложения перед установкой. Однако, как показала практика, даже верифицированное ПО в App Mac Store может нести вредоносный код. Проблема заключается в том, что ОС не проверяет уже установленные приложения на соответствии подписи.

Злоумышленник может убедить пользователя установить мальварь, заверенный купленным или украденным сертификатом. Если вредоносное ПО модифицирует другие приложения, не вызывая срабатываний защитных механизмов, этот факт долгое время может оставаться незамеченным. Как считает представитель Malwarebytes, изменения легко обнаружить стандартной проверкой, однако в macOS не предусмотрено регулярной верификации кода.

В некоторых случаях подобное сканирование запускается при обновлении приложений, но многие разработчики подписывают только файлы апдейта, поэтому полагаться на эту возможность, по мнению Рида, не стоит.

Malwarebytes предложила решение проблемы

В качестве самого простого и централизованного способа рассматривается реализация регулярных верификаций подписей ПО на уровне операционной системы. Однако, поскольку производитель macOS никак не отреагировал на информацию об уязвимости, Рид предлагает разработчикам самим озаботиться безопасностью своей продукции. Malwarebytes уже включает в код своих разработок для Mac проверку целостности кода при каждом запуске.

В июне 2018 года специалисты по безопасности уже сообщали о проблемах macOS, связанных с цифровой подписью. Несовершенные методы верификации позволяли устанавливать малвари под видом официального ПО от Apple. Производитель ОС тогда заявил, что уязвимость связана с ошибками сторонних разработчиков.