Toda vez que você desliga o Mac, aparece um pop-up: “Tem certeza de que deseja desligar o computador agora?” Aninhada sob o prompt está outra opção que a maioria de nós provavelmente ignora: a opção de reabrir os aplicativos e janelas que você abriu agora quando sua máquina for ligada novamente. Os pesquisadores descobriram agora uma maneira de explorar uma vulnerabilidade nesse recurso de “estado salvo” – e ele pode ser usado para quebrar as principais camadas das proteções de segurança da Apple.
A vulnerabilidade, que é suscetível a um ataque de injeção de processo para quebrar a segurança do macOS, pode permitir que um invasor leia todos os arquivos em um Mac ou assuma o controle da webcam, diz Thijs Alkemade, pesquisador de segurança da empresa de segurança cibernética Computest, com sede na Holanda, que encontrou a falha. “É basicamente uma vulnerabilidade que pode ser aplicada a três locais diferentes”, diz ele.
Depois de implantar o ataque inicial contra o recurso de estado salvo, Alkemade foi capaz de percorrer outras partes do ecossistema da Apple: primeiro escapando da sandbox do macOS, projetada para limitar hacks bem-sucedidos a um aplicativo e, em seguida, ignorando a Proteção de Integridade do Sistema (SIP), uma defesa importante projetada para impedir que códigos autorizados acessem arquivos confidenciais em um Mac.
Alkemade – que está apresentando o trabalho na conferência Black Hat em Las Vegas esta semana – encontrou a vulnerabilidade pela primeira vez em dezembro de 2020 e relatou o problema à Apple por meio de seu esquema de recompensas por bugs. Ele recebeu uma recompensa “muito boa” pela pesquisa, diz ele, embora se recuse a detalhar quanto. Desde então, a Apple emitiu duas atualizações para corrigir a falha, primeiro em abril de 2021 e novamente em outubro de 2021.
Quando perguntada sobre a falha, a Apple disse que não havia feito nenhum comentário antes à apresentação de Alkemade. As duas atualizações públicas da empresa sobre a vulnerabilidade são leves em detalhes, mas dizem que os problemas podem permitir que aplicativos maliciosos vazem informações confidenciais do usuário e aumentem privilégios para um invasor se mover por um sistema.
As mudanças da Apple também podem ser vistas no Xcode, o espaço de trabalho de desenvolvimento da empresa para criadores de aplicativos, diz uma postagem no blog descrevendo o ataque da Alkemade. O pesquisador diz que, embora a Apple tenha corrigido o problema dos Macs com o sistema operacional Monterey, lançado em outubro de 2021, as versões anteriores do macOS ainda são vulneráveis ao ataque.
Não são várias etapas para lançar o ataque com sucesso, mas fundamentalmente eles voltam para a vulnerabilidade inicial de injeção do processo. Os ataques de injeção de processo permitem que os hackers injetem código em um dispositivo e executem o código de uma maneira diferente da pretendida originalmente.
Os ataques não são incomuns. “Muitas vezes é possível encontrar a vulnerabilidade de injeção de processo em um aplicativo específico”, diz Alkemade. “Mas ter um que seja tão universalmente aplicável é um achado muito raro”, diz ele.
A vulnerabilidade encontrada pela Alkemade está em um objeto “serializado” no sistema de estado salvo, que salva os aplicativos e janelas que você abre ao desligar um Mac. Este sistema de estado salvo também pode ser executado enquanto um Mac está em uso, em um processo chamado App Nap.
