Как запустить вредоносный макрос в macOS незаметно для пользователя

[KL FC Bot]

Некоторые пользователи компьютеров под управлением macOS до сих пор уверены, что их машины не нуждаются в защите. Что еще хуже — нередко такого же мнения придерживаются системные администраторы в компаниях, где сотрудники работают на машинах Apple.

На конференции Black Hat USA 2020 исследователь Патрик Уордл попробовал избавить слушателей от этого заблуждения, представив свой анализ недавно пойманных вредоносов под macOS и построив цепочку эксплойтов, позволяющую захватить контроль над компьютером Apple.

Microsoft, макросы и Маки

Один из самых распространенных методов атаки на компьютеры под управлением macOS — через документы с вредоносными макросами. То есть через пакет Microsoft Office. Несмотря на наличие у Apple собственных инструментов для работы с документами, многие пользователи предпочитают офисный пакет Microsoft — кто-то в силу привычки, а кто-то ради удобства коллег.

Разумеется, о потенциальной угрозе документов с вредоносными макросами давно известно. Поэтому и у Microsoft, и у Apple есть механизмы, которые должны защитить пользователя от них.

Программы Microsoft акцентируют внимание пользователя на том, что в документе содержится макрос. Кроме того, если пользователь все же решает запустить макрос, то код исполняется в песочнице, откуда, по задумке разработчиков, нельзя получить доступ к файлам пользователя или причинить иной ущерб системе.

Что касается Apple, то в последней версии своей системы macOS Catalina компания представила несколько новых защитных технологий. В частности, файловый карантин и «нотариальное заверение» (notarization) — метод, который блокирует запуск кода, попавшего на компьютер из сторонних источников.

По идее, сочетания этих технологий должно быть достаточно, чтобы предотвратить использование вредоносного макроса. В теории все выглядит вполне безопасно, но как обстоят дела на практике?

 

View the full article