Patrick Wardle, un ex hacker de la NSA y ahora Director de Investigación de Digita Security, descubrió una vulnerabilidad crítica de día cero en el sistema operativo macOS que podía permitir que una aplicación maliciosa instalada en el sistema objetivo hiciera “clic” virtualmente en los objetos sin ninguna interacción o consentimiento del usuario.
Para saber lo peligroso que puede ser, explica Wardle: “Con un solo clic, innumerables mecanismos de seguridad pueden ser completamente ignorados. ¿Ejecutar aplicaciones no confiables? Click…permitido. ¿Autorizar el acceso al llavero? Click…permitido. ¿Cargar extensión de kernel de terceros? Click…permitido. ¿Autorizar la conexión de red saliente? Haga clic en… permitido“.
Wardle describió su investigación sobre interacciones “sintéticas” con una interfaz de usuario (UI) como “El ratón es más poderoso que la espada“, mostrando un ataque capaz de “clics sintéticos”: clics de ratón programáticos e invisibles que son generados por un programa de software en lugar de por un humano.
El propio código macOS ofrece clics sintéticos como una característica de accesibilidad para que las personas discapacitadas puedan interactuar con la interfaz del sistema de forma no tradicional, pero Apple ha puesto algunas limitaciones para impedir que el malware abuse de estos clics programados.
Wardle descubrió accidentalmente que High Sierra interpreta incorrectamente dos eventos consecutivos de “entrada” de ratón sintético como un clic legítimo, permitiendo a los atacantes interactuar programáticamente con las advertencias de seguridad, así como pedir a los usuarios que elijan entre “permitir” o “negar” y acceder a datos o características sensibles.
“La interfaz de usuario es el único punto de fallo“, dice Wardle. “Si tienes una forma de interactuar sintéticamente con estas alertas, tienes una forma muy poderosa y genérica de pasar por alto todos estos mecanismos de seguridad.”
Aunque Wardle aún no ha publicado los detalles técnicos del fallo, dice que la vulnerabilidad puede ser potencialmente explotada para descargar todas las contraseñas del llavero o cargar extensiones de kernel maliciosas haciendo clic virtualmente en “allow” (permitir) en el aviso de seguridad y obtener el control total de un equipo objetivo.
Wardle dijo que encontró esta laguna accidentalmente al copiar y pegar el código y que sólo dos líneas de código son suficientes para romper completamente este mecanismo de seguridad.
A diferencia de los hallazgos anteriores, Wardle no informó a Apple sobre sus últimas investigaciones y decidió revelar públicamente los detalles del error de día cero en la conferencia de hackers DefCon.
“Por supuesto, los proveedores de sistemas operativos como Apple son muy conscientes de este vector de’ataque’ y, por lo tanto, se esfuerzan por diseñar su interfaz de usuario de una manera que sea resistente a los eventos sintéticos. Desafortunadamente, fracasaron“, dice Wardle.
Sin embargo, la próxima versión de macOS de Apple, Mojave, ya ha mitigado la amenaza bloqueando todos los eventos sintéticos, lo que eventualmente reduce el alcance de las características de accesibilidad en aplicaciones que usan legítimamente esta característica.
Gracias a @trifero
