Investigadores trocam apps de macOS por clones maliciosas

O Gatekeeper do macOS tem um trabalho simples: impedir que corras software manhoso vindo da internet. Dois investigadores de segurança acabam de mostrar que, para muitas apps descarregadas da web, isso não está a acontecer.

Talal Haj Bakry e Tommy Mysk descobriram uma forma de trocar silenciosamente o executável principal de qualquer aplicação de macOS descarregada da internet e já aberta pelo menos uma vez, sem pedir privilégios de administrador. Na teoria, o Gatekeeper garante que o ficheiro é de um programador identificado, está notarizado e não foi alterado. Na prática, basta um truque com arquivos tar para passar pelo meio da rede.

O cenário de ataque não é mágico nem remoto: o atacante já precisa de conseguir correr código com permissões de utilizador, por exemplo através de uma app maliciosa, de um script que convenceste a correr no Terminal, ou de uma dependência comprometida instalada via npm ou Homebrew. Mas isso é precisamente o tipo de porta de entrada que malware recente para macOS como o ClickLock anda a explorar. Uma vez lá dentro, a técnica de Bakry e Mysk faz o resto.

A limitação importante: isto não funciona com apps da Mac App Store, porque são propriedade do utilizador root e um processo com permissões normais não as consegue sobrescrever. O alvo são as aplicações clássicas descarregadas do site oficial, como Brave, Slack, Signal ou Visual Studio Code. Ou seja, precisamente o tipo de software que muitos utilizadores de Mac em Portugal instalam fora da loja da Apple porque precisam dele para trabalhar.

O ataque funciona assim: instalas e abres a app uma vez, o Gatekeeper faz a verificação inicial e marca-a como de confiança. Depois, um processo com permissões de utilizador arquiva essa app com tar, apaga o original e coloca no mesmo caminho uma versão maliciosa. Segundo os investigadores, o macOS não volta a pedir autorização nem a revalidar devidamente a assinatura. A nova versão herda a confiança da antiga. A partir daí, qualquer pedido de palavra-passe ou acesso a dados sensíveis parece vir de uma app conhecida, o que baixa as defesas de qualquer pessoa minimamente distraída.

Tommy Mysk admite não saber ainda a raiz exacta da falha, mas aponta para cache de confiança mal gerida. O sistema marca a app como segura à primeira utilização, guarda essa info e depois não lida bem quando o executável muda. Tecnicamente, isto é o tipo de bug que a Apple costuma levar a sério. Politicamente, a resposta tem sido morna. Os investigadores reportaram o problema, a Apple não o classificou como vulnerabilidade crítica e, até agora, nada de patch. Para um sistema que se vende em grande parte com a promessa de segurança automática, é um silêncio difícil de justificar.

Para quem usa macOS em Portugal, o conselho é desagradavelmente básico: tratar apps descarregadas da web como se estivessem num Windows antigo. Desconfia de scripts e comandos colados no Terminal, limita o número de ferramentas instaladas fora da App Store e não assumes que um pop-up é honesto só porque vem de um ícone familiar no Dock. O marketing fala muito de “funcionar como magia”. Aqui o truque é outro, e não é o utilizador que está a ganhar.

Fonte: The Register