Sicherheitsexperten haben ein kritisches Problem im Schutzsystem des Betriebssystems Apple macOS entdeckt. Die Forscher demonstrierten, dass Anwendungen, die aus Quellen außerhalb des offiziellen App Stores heruntergeladen wurden, unbemerkt durch bösartige Doppelgänger ersetzt werden können. Dies wirft Fragen zur Wirksamkeit der Gatekeeper-Technologie auf, die Benutzer vor nicht verifizierter Software schützen soll.

Funktionsweise des Schutzes und Schwachstellen

Laut der offiziellen Dokumentation von Apple überprüft der Gatekeeper-Mechanismus jede Software, jeden Plug-in oder jeden Installer, der nicht über den App Store bezogen wurde. Das System soll sicherstellen, dass die Software von einem verifizierten Entwickler stammt, von Apple als sicher zertifiziert wurde und nach der Signierung nicht verändert wurde. In der Praxis haben die Forscher jedoch einen Weg gefunden, diese Überprüfungen zu umgehen.

Ein Angreifer kann die Hauptausführungsdatei einer beliebigen aus dem Internet heruntergeladenen Anwendung unbemerkt ersetzen. Für die Durchführung dieses Angriffs sind keine erhöhten Rechte oder Administratorrechte erforderlich – es reichen bereits Ausführungsmöglichkeiten auf Ebene eines normalen Benutzers. Dies kann eine bereits auf dem Gerät laufende bösartige Anwendung oder ein Skript sein.

Angriffsmechanik und gefährdete Programme

Der Kern der Schwachstelle besteht darin, dass Gatekeeper den Zugriff auf Dateien nach deren erstem Download nicht ausreichend kontrolliert. Diese Angriffsmethode ist nicht auf Anwendungen aus dem Mac App Store anwendbar, da diese mit Root-Rechten ausgeführt werden und ein Prozess mit Benutzerrechten sie nicht überschreiben kann. Gefährdet sind Programme, die aus externen Quellen installiert wurden.

Zu den potenziell gefährdeten Anwendungen gehören beliebte Tools wie:

  • der Brave-Browser;
  • die Messenger Slack und Signal;
  • der Code-Editor Visual Studio Code.

Für einen erfolgreichen Angriff muss die Anwendung aus einer externen Quelle heruntergeladen und mindestens einmal gestartet worden sein.

Umgehung der Sicherheitsüberprüfungen

Gatekeeper führt eine initiale Überprüfung der Anwendung durch, um nachfolgende Änderungen zu verhindern. Die Forscher zeigten jedoch, dass eine heruntergeladene Anwendung in ein TAR-Archiv gepackt, das Original entfernt und durch eine bösartige Version ersetzt werden kann. Anschließend fordert macOS keine erneute Autorisierung an, da das Paket als lokal erstellt und nicht überprüfungsbedürftig gilt.

Einen solchen Angriff kann man auf verschiedene Weise umsetzen: über Befehlszeilentools, über eine bösartige Anfrage an einen KI-Agenten oder über einen Angriff auf die Lieferkette unter Verwendung von Paketmanagern wie npm, brew und anderen.

Reaktion von Apple und Experteneinschätzungen

Die Gatekeeper-Technologie sollte Anwendungen überprüfen, wenn sich deren digitale Signatur ändert, was in der Praxis jedoch nicht geschieht. Apple hat bisher nicht erklärt, warum das System solche Änderungen durchlässt. Die Forscher vermuten, dass das Problem im Caching des Vertrauenswerts liegt: Wenn die Überprüfung initialisiert wurde, passiert der „böse Doppelgänger“ einer legitimen Anwendung die Verifizierung erfolgreich, basierend auf den gespeicherten Daten.