MacOS 0-day permite hackerilor să evite caracteristicile de securitate cu clicuri sintetice

Wardle, cercetător în domeniul securității care a trecut anul precedent funcția de confidențialitate MacOS, recent introdusă, a găsit din nou o nouă modalitate de a ignora avertismentele de securitate prin efectuarea de "clicuri sintetice" în numele utilizatorilor fără a necesita interacțiunea lor.

Sistemul încearcă să verifice / valideze la aceste aplicații admise care nu au fost subversate, dar verificarea lor este defectuoasă, adică un atacator poate submina oricare dintre acestea și poate adăuga / injecta coduri pentru a efectua clicuri sintetice arbitrare - de exemplu, pentru a interacționa cu securitatea / alerte de confidențialitate în Mojave pentru a accesa locația utilizatorului, microfonul, camera web, fotografiile, înregistrările SMS / apeluri.
Mai mult decât atât, aplicațiile din lista albă nu trebuie să fie prezente în sistem. Atacatorul ar putea aduce sistemului (probabil pre-subvertit) una din aplicațiile din lista de albume și poate rula în fundal, pentru a genera clicuri.

Wardle se referă la noua vulnerabilitate a clicurilor sintetice ca la "atac în etapa a doua", ceea ce înseamnă că un atacator ar trebui să aibă deja acces la computerul macOS al victimei sau dacă a instalat o aplicație rău intenționată.

Wardle a raportat constatările sale Apple săptămâna trecută și compania a confirmat primirea raportului său, dar nu a dat clar când intenționează să corecteze problema

Orange Moldova CERT recomandă să instalaţi patch-uri / upgrade-uri cât mai curând posibil (atunci când soluția de la vendor va fi disponibilă).