Мышь сильнее меча: как взломать macOS в один клик

Опубликовано at 15:56
89 0

Хакерская конференция DEFCON продолжает поставлять интересные исследования: бывший сотрудник АНБ, а ныне КБ-эксперт Патрик Вордл рассказал о чудовищной уязвимости нулевого дня в macOS. Она позволяет в один клик обойти практически все защитные механизмы системы — только вот клик этот виртуальный.

«С помощью всего одного клика можно обойти бессчетное количество защитных механизмов. Запустить недоверенное приложение? Клик… разрешено. Авторизовать доступ к keychain? Клик… разрешено. Загрузить стороннее расширение ядра? Клик… разрешено. Авторизовать исходящее сетевое соединение? Клик… разрешено», — Патрик Вордл.

Доклад Вордла называется «Мышь сильнее меча». Эксперт изучил код macOS и предложил использовать для взлома программные и невидимые «синтетические клики», которые генерирует ПО, а не человек (исходно эта возможность предназначается для инвалидов).

Заинтересовался этой темой специалист случайно, когда копировал пару строк кода и обнаружил, что macOS High Sierra неверно определяет следующие друг за другом события down, как легитимный виртуальный клик. Эту уязвимость, как продемонстрировал Вордл, легко использовать для автоматического взаимодействия с предупреждениями механизмов безопасности.

По словам эксперта, который не раскрывает подробностей, автоматизация взаимодействия виртуальных кликов с системой может в итоге привести к дампу всех паролей из keychain, загрузке вредоносных расширений ядра и получению полного контроля над уязвимым устройством. Вместе с тем, полное отключение «виртуальных кликов» в системе будет нарушать законодательство о равных возможностях для пользователей программ (ADA, Americans with disabilities act), что в США может повлечь весьма серьезные штрафы для компании.

Подписываемся, следим @CyberAgency

Related Post

Британия усилила контроль над киберугрозами национальной безопасности

Опубликовано - 25.12.2017 0
Британские разведывательные службы обнаружили более 750 кибератак, нацеленных на инфраструктуру и финансовую систему страны. По словам главы Национального центра кибербезопасности…

Добавить комментарий