安全播报

MacOS漏洞:恶意软件能够绕过安全警告

编辑/作者:安安 2018-08-17 我要评论

研究人员表示:绕过警告会造成很多的恶意行为。 Apple在软件安全方面尽心竭力,除了首先推出主要保护措施来防止恶意软件感染外,公司工程师还制定了各种纵深防御措...

  研究人员表示:“绕过警告会造成很多的恶意行为。”

  Apple在软件安全方面尽心竭力,除了首先推出主要保护措施来防止恶意软件感染外,公司工程师还制定了各种纵深防御措施,旨在减轻Mac受感染后可能发生的损害。现在,前国家安全局黑客和macOS安全专家Patrick Wardle披露了一个主要的漏洞,即一般会影响到很多类似的二级防御。

  在上周末举办的拉斯维加斯Def Con黑客大会上,Wardle在演示时表示,对于本地攻击者或恶意软件来说,通过用户界面绕过许多安全机制是小事一桩。当这些安全措施检测到潜在的恶意行为时,会阻止该操作,然后显示警报或提示。恶意代码会滥用内置于macOS中的各种编程接口,并生成程序化点击事件和系统进行交互,甚至消除此类警报。正如Wardle所说的那样,这种“合成点击”几乎会立即起作用,并且用户也无法感知。

  “和安全提示进行交互的能力可以让攻击者发动大量恶意行为,”Wardle告诉Ars:“许多Apple的隐私和深度安全保护都可以被轻易绕过”。

  例如,由于能够产生合成点击,恶意攻击可以解除许多与Apple隐私相关的安全提示。在最新版本的macOS上,Apple添加了一个确认窗口,要求用户在安装可以访问存储在Mac上的地理位置、联系人或日历信息的应用程序之前单击“OK”(确认)按钮。 Apple工程师也增加了对二级防御的要求。即使机器被恶意软件感染,但是如果没有用户的明确许可,恶意应用程序将无法复制此敏感数据。

  尽管Apple的许多安全警报试图检测并忽略合成点击,但Wardle发现即使在完全更新的High Sierra系统上,隐私警报也未受到保护。 “如果恶意软件可以简单地解除警报,那么显示警报又有什么意义?”他问道。

  在过去,恶意软件会滥用此类合成点击来执行各种恶意操作。例如,Genio广告软件、DevilRobber货币挖矿恶意软件,以及在13年内从受感染的Mac上窃取数百万张图像的恶意软件Fruitfly,这些都使用合成点击来绕过纵深防御警告。

  Apple通过改进其操作系统的安全性来应对这些恶意软件。目前,在最新版本的macOS中,安全警报和提示能够忽略合成事件,这至少也是一种办法。在演示中,Wardle首先阐述了攻击者如何滥用macOS的“鼠标键”功能,将键盘按键转换为鼠标移动行为。鼠标键允许用户通过按下某些键来模拟向上、向下、向右或向左或向对角方向移动鼠标,如下图所示:

  但是,Wardle说明了攻击者或恶意软件如何利用“鼠标键”事件来生成可接受的合成鼠标点击,即使是“受保护的”安全警报也是如此。在创建概念验证攻击后,恶意软件可以和安全提示进行交互、解除钥匙串的访问提示、并转储用户未加密的密码和私钥,后来他向Apple报告了该问题,Apple发布了补丁包CVE-2017-7150。现在,安全警报会忽略“鼠标键”,而钥匙串访问始终需要用户的密码。

  但即使在Apple发布补丁后,仍然可以绕过这些警告。在测试较旧的攻击时,Wardle错误地复制并粘贴了一些代码。在没有意识到错误的情况下,他就运行了代码,令他惊讶的是,即使在完全打补丁的High Sierra系统上,他也可以在安全警报上使用合成点击。在进行深入研究之后,他意识到错误代码发送了两个鼠标“按下”事件(而不是典型的鼠标按下、鼠标松开事件)。

  “系统将第二次鼠标按下事件转换为鼠标松开事件,”他指出,“但是,由于系统会生成此鼠标按下事件,因此可以与安全提示进行交互。”由于这个问题,使得各种与安全和隐私相关的恶意行为都能够完全绕过警告。最令人担忧的是绕过了新推出的Apple安全机制,该机制旨在防止程序化加载“kexts”——与macOS核心交互的内核扩展。

  Apple代表并没有回复要求对此帖发表评论的电子邮件。Wardle表示,绕过安全提示引发了有关公司如何推出改进措施的问题。“我并不是说想要知道是如何绕过的,但我发现了一种完全打破基本安全机制的方法,”Objective-See Mac工具和Digita Security首席研究官的开发人员Wardle说道:“如果一个安全机制能够如此轻易地失效,他们之前是否对此进行了测试?这么说我都觉得尴尬。”

  原文作者:DAN GOODIN

文章来源:信息化观察网

1.本站遵循行业规范,任何转载的稿件都会明确标注作者和来源;2.本站的原创文章,请转载时务必注明文章作者和来源,不尊重原创的行为我们将追究责任;3.作者投稿可能会经我们编辑修改或补充。4、对于网友投稿的文章请仔细核对其真实性,如遇要求汇款转账情况,请格外谨慎。

相关文章
  • 最新电信诈骗来了,支付宝回应:将补偿用户损

    最新电信诈骗来了,支付宝回应:将补偿用户损

  • 英国警方提醒消费者圣诞节网购 应谨防网络诈骗

    英国警方提醒消费者圣诞节网购 应谨防网络诈骗

  • 25个锁屏勒索类恶意程序变种被曝光

    25个锁屏勒索类恶意程序变种被曝光

  • 收藏!电信诈骗的常用几大招数

    收藏!电信诈骗的常用几大招数