Klíčové poznatky
- Výzkumníci ve volné přírodě objevili dosud nevídaný spyware pro macOS.
- Není to nejpokročilejší malware a k dosažení svých cílů spoléhá na špatnou bezpečnostní hygienu lidí.
-
Stále potřebujeme komplexní bezpečnostní mechanismy, jako je nadcházející režim Lockdown společnosti Apple, tvrdí bezpečnostní experti.
Bezpečnostní výzkumníci objevili nový spyware pro macOS, který využívá již opravené zranitelnosti k obcházení ochran zabudovaných v macOS. Jeho objev zdůrazňuje, jak je důležité držet krok s aktualizacemi operačního systému.
Dubbed CloudMensis, dříve neznámý spyware, který objevili výzkumníci ze společnosti ESET, využívá ke komunikaci s útočníky a k exfiltraci souborů výhradně služby veřejného cloudového úložiště, jako je pCloud, Dropbox a další. Je znepokojivé, že využívá velké množství zranitelností k obcházení vestavěných ochran systému macOS ke krádeži vašich souborů.
„Jeho schopnosti jasně ukazují, že záměrem jeho operátorů je shromažďovat informace z počítačů Mac obětí exfiltrací dokumentů, stisknutí kláves a snímků obrazovky,“napsal výzkumník ESET Marc-Etienne M. Léveillé. „Využití zranitelností k řešení zmírnění důsledků macOS ukazuje, že provozovatelé malwaru se aktivně snaží maximalizovat úspěch svých špionážních operací.“
Trvalý spyware
Výzkumníci společnosti ESET poprvé zaznamenali nový malware v dubnu 2022 a uvědomili si, že by mohl napadnout jak starší počítače Intel, tak i novější počítače Apple na bázi křemíku.
Nejnápadnějším aspektem spywaru je možná to, že po nasazení na Mac oběti se CloudMensis neštítí využít neopravené zranitelnosti Apple se záměrem obejít systém macOS Transparency Consent and Control (TCC).
TCC je navrženo tak, aby vyzvalo uživatele, aby udělil aplikacím oprávnění pořizovat snímky obrazovky nebo monitorovat události na klávesnici. Blokuje aplikacím v přístupu k citlivým uživatelským datům tím, že umožňuje uživatelům macOS konfigurovat nastavení soukromí pro aplikace nainstalované na jejich systémech a zařízeních připojených k jejich Macu, včetně mikrofonů a kamer.
Pravidla jsou uložena v databázi chráněné systémem System Integrity Protection (SIP), který zajišťuje, že databázi může upravovat pouze démon TCC.
Na základě své analýzy výzkumníci uvádějí, že CloudMensis používá několik technik k obcházení TCC a vyhýbání se výzvám k povolení, čímž získává neomezený přístup k citlivým oblastem počítače, jako je obrazovka, vyměnitelné úložiště a klávesnice.
Na počítačích se zakázaným protokolem SIP si spyware jednoduše udělí oprávnění pro přístup k citlivým zařízením přidáním nových pravidel do databáze TCC. Na počítačích, na kterých je aktivní SIP, však CloudMensis využije známé zranitelnosti k oklamání TCC k načtení databáze, do které může spyware zapisovat.
Chraňte se
„Při nákupu produktu Mac obvykle předpokládáme, že je zcela bezpečný před malwarem a kybernetickými hrozbami, ale není tomu tak vždy,“řekl agentuře Lifewire George Gerchow, hlavní bezpečnostní ředitel společnosti Sumo Logic..
Gerchow vysvětlil, že situace je v dnešní době ještě znepokojivější, protože mnoho lidí pracuje z domova nebo v hybridním prostředí pomocí osobních počítačů. "To kombinuje osobní data s podnikovými daty, čímž se vytváří fond zranitelných a žádoucích dat pro hackery," poznamenal Gerchow.
Zatímco výzkumníci doporučují provozovat aktuální Mac, aby alespoň zabránili spywaru obcházet TCC, Gerchow věří, že blízkost osobních zařízení a podnikových dat vyžaduje použití komplexního monitorovacího a ochranného softwaru.
"Ochranu koncových bodů, často využívanou podniky, si mohou [lidé] instalovat individuálně za účelem monitorování a ochrany vstupních bodů v sítích nebo cloudových systémech před sofistikovaným malwarem a vyvíjejícími se hrozbami zero-day, " navrhl Gerchow. "Protokolováním dat mohou uživatelé detekovat nový, potenciálně neznámý provoz a spustitelné soubory ve své síti."
Může to znít jako přehnané, ale ani výzkumníci se nebrání používání komplexní ochrany k ochraně lidí před spywarem, s odkazem na režim uzamčení, který Apple zavede na iOS, iPadOS a macOS. Má lidem dát možnost snadno deaktivovat funkce, které útočníci často zneužívají ke špehování lidí.
„Ačkoli se nejedná o nejpokročilejší malware, může být CloudMensis jedním z důvodů, proč by někteří uživatelé chtěli povolit tuto dodatečnou obranu [nový režim Lockdown],“poznamenali výzkumníci. „Deaktivace vstupních bodů na úkor méně plynulého uživatelského zážitku zní jako rozumný způsob, jak snížit plochu útoku."
