Muchas amenazas de seguridad señalan, a día de hoy, a macOS y los dispositivos de Apple, como la descubierta en febrero y que apunta específicamente a los dispositivos con el SoC M1. Y no es menos cierto que, aún con buenas intenciones, las aproximaciones de Apple en este sentido no siempre han sido las más adecuadas, como ya hemos visto con la implementación de la notarización en macOS, una medida de seguridad que necesita cambios importantes para pasar a ser verdaderamente segura.

Y el último ejemplo de amenazas de seguridad para macOS lo encontramos en la vulnerabilidad CVE-2021-30657, que a día de hoy todavía no ha sido totalmente difundida (se informa de su existencia pero no de su funcionamiento), y que explotada correctamente podría saltarse todas las medidas de seguridad implementadas en el sistema operativo de Apple, permitiendo así la instalación de malware sin que el usuario llegue a ser consciente de ello.

 Una aplicación de prueba de concepto basada en script, sin firmar y no notarizada podría […] eludir de manera trivial y confiable todos los mecanismos de seguridad relevantes de macOS (requisitos de cuarentena de archivos, gatekeeper y notarización), incluso en un sistema macOS M1 completamente parcheado«, afirma el investigador de seguridad Patrick Wardle, 

• https://objective-see.com/blog/blog_0x64.html
  

El fallo de seguridad fue detectado por el ingeniero de seguridad Cedric Owens el 25 de marzo de 2021, que informó sobre ella a Apple. A consecuencia de dicho descubrimiento, la compañía ha publicado una actualización para masOS 11.3 Big Sur.

• https://support.apple.com/en-us/HT201222

Detalles técnicos

 MacOS, el sistema operativo de Apple, cuenta con una función llamada Gatekeeper , que permite que solo se ejecuten aplicaciones confiables, verificando y asegurando que el software haya sido firmado por la App Store o por un desarrollador registrado y haya sido aprobado un proceso llamado «app notarization» que escanea el software en busca de contenido malicioso. Apple ha lanzado una actualización de los sistemas operativos macOS para arreglar la vulnerabilidad de día cero, que estaba siendo explotada activamente y que permitía eludir todas las protecciones de seguridad, permitiendo así que el software no aprobado se ejecute.

 «Es una aplicación en el sentido de que puede hacer doble clic en ella y macOS la ve como una aplicación cuando hace clic con el botón derecho -> Obtener información sobre la carga útil». «Sin embargo, también es un script de shell y Gatekeeper no comprueba los scripts incluso si el atributo de cuarentena está presente».

Según publica Jamf, una firma de seguridad para enfocado en el entorno Apple, el ciberdelincuente detrás del malware Shlayer ha estado abusando de esta vulnerabilidad de bypass de Gatekeeper desde el 9 de enero de 2021. Este ataque ha sido distribuido a través de una técnica llamada envenenamiento de motor de búsqueda o spamdexing, Shlayer representa casi el 30% de todas las detecciones en el plataforma macOS, con uno de cada diez sistemas que encuentra el adware al menos una vez, según las últimas estadísticas de Kaspersky. 

El ataque funciona manipulando los resultados del motor de búsqueda para mostrar enlaces maliciosos que, cuando se hace clic en ellos, redirigen a los usuarios a una página web que les pide que descarguen una actualización de una aplicación aparentemente benigna para software desactualizado. Es preocupante que este esquema de infección pueda aprovecharse para ofrecer amenazas mas avanzadas, como software de vigilancia y ransomware.

Fuentes:

https://www.muyseguridad.net/2021/04/27/macos-dia-0-explotado-actualiza-ya/ 

https://unaaldia.hispasec.com/2021/04/hackers-pueden-instalar-malware-en-macos-a-traves-de-una-vulnerabilidad-en-gatekeeper.html