Jedno z bazowych zabezpieczeń macOS-a nie działa, malware sam może kliknąć „OK”

macOS ma różne zabezpieczenia, zapobiegające infekcjom malware i minimalizujące szkody, jakie może wywołać złośliwy program. Luka została odkryta w jednym z tych zabezpieczeń. Chodzi o okno z pytaniem o zgodę na udostępnienie aplikacji danych o położeniu, plików, kalendarza bądź kontaktów. Pytanie użytkownika o zgodę jest zabezpieczeniem drugiej linii – jeśli już szkodliwy program znajdzie się na komputerze, przynajmniej użytkownik nie da mu dostępu do swoich danych – tak przynajmniej sądzili projektanci.

Podczas konferencji Defcon w Las Vegas Wardle, który jest tam stałym gościem, pokazał jak łatwo malware może obejść to zabezpieczenie, korzystając z dostępnych interfejsów programowych systemu macOS. Wystarczy kilka linii kodu, by wysłać „syntetyczne kliknięcie” w przycisk OK, co da szkodnikowi dostęp do wrażliwych danych. Proces działa na tyle szybko, że użytkownik może nawet nie zauważyć, że pojawiło się okno dialogowe z pytaniem. Dzięki automatyzacji kliknięć malware może wchodzić w interakcje z wieloma oknami systemowymi i wykonać sporo szkodliwych operacji. Obejście działa nawet kiedy aplikacja zamierza instalować rozszerzenia kernela (kext), malware może więc zaszkodzić systemowi na niskim poziomie.

Syntetyczne kliknięcie zostało wykonane z pomocą interfejsu systemowego, który konwertuje naciśnięte klawisze na ruchy myszki, używanego niekiedy jako ułatwienie dostępu. Naciskając klawisze ze strzałkami możemy przesuwać kursor w lewo, prawo, w górę i w dół, albo po przekątnej. Wardle przypadkiem odkrył, że dwukrotne naciśnięcie strzałki w dół jest przez system interpretowane jako kliknięcie „OK”. Po tym odkryciu przygotowanie kodu obchodzącego pytania zabezpieczające było niemal trywialne.

W historii systemu macOS nie znajdziemy wielu zapisów o malware, ale jeśli już się pojawiły, ich nazwy zostały zapamiętane: adware Genio, kopiący kryptowaluty DevilRobber, wykradający zdjęcia z Maców Fruitfly. Łączy je jeszcze jedno – wszystkie trzy korzystały z syntetycznych kliknięć, by obejść ostrzeżenia i wykonać swoje zadania. Wektor ataku jest więc znany od lat. W odpowiedzi na ich działanie, Apple utrudnił obejście okien z pytaniami o uprawnienia. Nie da się tym sposobem uzyskać dostępu na przykład do pęku kluczy, gdzie dodatkowo wymagane jest podania hasła użytkownika.

Jednak Wardle właśnie pokazał spore niedopatrzenie. Symulując kliknięcie wciąż można dostać się do danych o położeniu, kontaktów, kalendarza oraz rozszerzeń jądra. Nie będzie to możliwe dopiero w systemie macOS 10.14 Mojave (obecnie dostępny jako publiczna beta), ale kosztem użyteczności w niektórych sytuacjach.

Problemem nie jest to, że można obejść jakieś zabezpieczenie – uparty haker w końcu znajdzie sposób na obejście dowolnego mechanizmu. Martwi fakt, że obejście jednego z fundamentalnych zabezpieczeń systemu zostało odkryte zupełnie przypadkiem. Wardle na pewno nie był pierwszym, który na nie trafił.