El hack utiliza un archivo binario consideradoĀ confiable por Apple e identificado por Gatekeeper como tal. Una vez Gatekeeper confĆa en el binario, Ć©ste puede ejecutar archivos que estĆ”n en la misma carpeta sin que sean investigados previamente por Gatekeeper, permitiendo la instalaciĆ³n asĆ de malware.
Patrick Warble, director de la empresa de seguridad Synack ha comentado que la forma de sobrepasar a Gatekeeper mĆ”s que aprovechar un defecto en sĆ, se aprovecha de la forma de trabajar que tiene ya que la Ćŗnica funciĆ³n del sistema de seguridad es comprobar si el certificado asociado a una aplicaciĆ³n es correcto, es decir, estĆ” generado por la Mac App Store o pertenece a un desarrollador identificado, pero no controla las futuras acciones de la aplicaciĆ³n. AsĆ, si la aplicaciĆ³n es vĆ”lida, la deja pasar, pero no controla quĆ© hace y cĆ³mo lo hace.
El proceso es muy simple (y lo voy a explicar tambiĆ©n de forma muy simple).Ā BĆ”sicamente descargas una imagen de disco o un archivo comprimido que corresponde a una aplicaciĆ³n. Al abrir la imagen o descomprimirlo y hacer clic en la aplicaciĆ³n, Gatekeeper comprueba el certificado de la misma y le da paso, pero entonces la aplicaciĆ³n hace una llamada a un segunda aplicaciĆ³n que se ejecuta a espaldas de Gatekeeper y que puede contener malware. Ante este problema, la polĆtica SIP deĀ OS X 10.11 El Capitan puede ayudar mucho, ya que impide que un malware se instale con facilidad al no tener acceso al sistema incluso cuando se introduzca una contraseƱa de administrador.
El investigador de seguridad advirtiĆ³ del problema aĀ Apple hace dos meses y cree que en Cupertino se estĆ” trabajando en una forma de solucionar este problema para eliminarlo o limitar los daƱos que pueda causar. Un portavoz deĀ Apple de hecho ha confirmado que se estĆ” trabajando en unaĀ actualizaciĆ³n de seguridad.
Wardle planea mostrar sus descubrimientos el jueves en la Virus Bulletin Conference en Praga y cree que si el ha podido encontrar esta forma de sobrepasar Gatekeeper, es fƔcil que haya sido localizados por terceros.
