Apple представила захист цілісності macOS (System Integrity Protection – SIP) в OS X El Capitan у 2015 році, і він, по суті, додає кілька рівнів безпеки, які блокують доступ застосунків до системних файлів на кореневому рівні та їхню модифікацію. Хоча користувачі можуть вручну вимкнути цю функцію, зробити це не так просто. Але Microsoft знайшла експлойт, який може дозволити зловмисникам обійти SIP.
Як повідомила компанія у своєму блозі про безпеку, вразливість під назвою Migraine може обійти захист системної цілісності macOS і призвести до довільного виконання коду на пристрої. Експлойт отримав таку назву, оскільки пов’язаний з macOS Migration Assistant – вбудованим інструментом, який допомагає користувачам переміщати дані з комп’ютера Mac або Windows на інший Mac.
Як пояснили в Microsoft, обхід SIP може призвести до “серйозних наслідків”, оскільки це дає зловмисникам доступ до всіх системних файлів, що полегшує встановлення шкідливих програм і руткітів. Експлойт зміг зробити це за допомогою спеціальних прав, призначених для надання необмеженого root-доступу до програми Migration Assistant.
У звичайній ситуації інструмент Migration Assistant доступний лише під час процесу налаштування нового облікового запису користувача, а це означає, що хакерам потрібно не лише примусово вийти з системи, але й мати фізичний доступ до комп’ютера. Але щоб продемонструвати потенційну небезпеку цього експлойту, Microsoft показала, що є спосіб скористатися ним, не турбуючись про перераховані вище обмеження.
Microsoft модифікувала утиліту Migration Assistant, щоб вона запускалася без виходу користувача з системи. Але модифікація програми призвела до її збою через помилку кодового знаку. Тоді дослідники безпеки запустили Setup Assistant (застосунок, який допомагає користувачеві під час першого налаштування комп’ютера Mac) в режимі відладки, щоб він ігнорував той факт, що Migration Assistant був модифікований і не мав дійсного підпису.
Оскільки Setup Assistant працював у режимі налагодження, дослідники могли легко пропустити кроки процесу налаштування і перейти одразу до Migration Assistant. Але навіть в середовищі macOS це все одно вимагало б наявності диска для відновлення і взаємодії з інтерфейсом.
Щоб зробити експлойт ще складнішим, Microsoft створила невелику резервну копію Time Machine об’ємом 1 ГБ, яка може містити шкідливе програмне забезпечення. Дослідники створили сценарій AppleScript, який автоматично монтував цю резервну копію і взаємодіяв з інтерфейсом Migration Assistant так, що користувач навіть не помічав цього. В результаті Mac імпортував дані з цієї шкідливої резервної копії.
На щастя, вам не варто хвилюватися, якщо на вашому комп’ютері використовується остання версія macOS Ventura. Це тому, що Microsoft повідомила Apple про експлойт, який було виправлено в оновленні macOS 13.4, що вийшло 18 травня. Apple подякувала дослідникам Microsoft на своїй сторінці безпеки.
Якщо ви ще не оновили свій Mac, переконайтеся, що ви встановили останню версію macOS якомога швидше, перейшовши в “Системні налаштування” > “Загальні” > “Оновлення програмного забезпечення”.
Читайте також: