Recentemente, è emersa una vulnerabilità critica nel sistema operativo macOS, identificata come “HM Surf”, che potrebbe consentire a malintenzionati di ottenere accesso non autorizzato ai dati degli utenti.
Microsoft Threat Intelligence ha scoperto una vulnerabilità di macOS che potrebbe potenzialmente consentire a un aggressore di aggirare la tecnologia Transparency, Consent, and Control (TCC) del sistema operativo e ottenere accesso non autorizzato ai dati protetti di un utente. La vulnerabilità, che chiamiamo “HM Surf”, comporta la rimozione della protezione TCC per la directory del browser Safari e la modifica di un file di configurazione nella suddetta directory per ottenere accesso ai dati dell’utente, tra cui le pagine visitate, la fotocamera del dispositivo, il microfono e la posizione, senza il consenso dell’utente.
Dopo aver scoperto la tecnica di bypass, abbiamo condiviso le nostre scoperte con Apple tramite Coordinated Vulnerability Disclosure (CVD) tramite Microsoft Security Vulnerability Research (MSVR) . Apple ha rilasciato una correzione per questa vulnerabilità, ora identificata come CVE-2024-44133, come parte degli aggiornamenti di sicurezza per macOS Sequoia , rilasciati il 16 settembre 2024. Al momento, solo Safari utilizza le nuove protezioni offerte da TCC. Microsoft sta attualmente collaborando con altri importanti fornitori di browser per indagare i vantaggi del rafforzamento dei file di configurazione locali.
Invitiamo gli utenti macOS ad applicare questi aggiornamenti di sicurezza il prima possibile. Le protezioni di monitoraggio del comportamento in Microsoft Defender for Endpoint hanno rilevato attività associate ad Adload, una famiglia di minacce macOS prevalente, che sfrutta potenzialmente questa vulnerabilità. Microsoft Defender for Endpoint rileva e blocca lo sfruttamento di CVE-2024-44133, inclusa la modifica anomala del file Preferences tramite HM Surf o altri metodi.
Cos’è la vulnerabilità “HM Surf”?
E’ un difetto di progettazione che si manifesta nelle versioni recenti di macOS, consentendo a un attaccante di eseguire codice arbitrario sul sistema target. Questa vulnerabilità è particolarmente preoccupante perché potrebbe permettere l’accesso a dati sensibili senza il consenso dell’utente. Secondo un rapporto pubblicato da CVE Details, le vulnerabilità nel software di sistema rappresentano una delle principali minacce per la sicurezza informatica, rendendo l’identificazione e la mitigazione di questi difetti di progettazione una priorità assoluta per gli esperti IT.
Come funziona la vulnerabilità “HM Surf”?
La vulnerabilità “HM Surf” sfrutta un errore nella gestione delle richieste di rete da parte del sistema operativo, permettendo a un attaccante di manipolare le comunicazioni tra l’utente e i server. Questa vulnerabilità è tipicamente attivata attraverso l’interazione dell’utente con un’applicazione compromessa o tramite l’apertura di file malevoli. I tecnici informatici dovrebbero prestare particolare attenzione a come le applicazioni gestiscono i dati e le connessioni di rete, in quanto le falle nella sicurezza in questi ambiti possono esporre gli utenti a gravi rischi.
Implicazioni per la sicurezza dei dati
Le implicazioni della vulnerabilità “HM Surf” sono considerevoli. Un attaccante che riesce a sfruttare questa vulnerabilità potrebbe accedere a informazioni sensibili, come password, dati bancari e informazioni personali. Inoltre, potrebbe compromettere l’integrità del sistema, installando malware o creando backdoor per futuri attacchi.
Secondo il rapporto di Symantec, oltre il 60% delle violazioni dei dati nel 2023 è stato attribuito a vulnerabilità software, evidenziando l’importanza di affrontare tempestivamente tali problemi.
Tecniche di sfruttamento della vulnerabilità
Rilevamento di nuovi comportamenti di Adload tramite monitoraggio comportamentale
Dopo aver scoperto questa nuova tecnica di aggiramento del TCC, abbiamo implementato strategie di rilevamento del monitoraggio del comportamento per proteggere i clienti. Nell’analizzare le informazioni raccolte dalle strategie di rilevamento, abbiamo osservato un’attività sospetta nel dispositivo di un cliente: un processo con il nome p in esecuzione dalla cartella /private/tmp world-writable (SHA-256: 17e1b83089814128bc243315894f412026503c10b710c9c59d4aaf67bc209cb8) che ha modificato in modo anomalo il file delle preferenze di Chrome dell’utente locale.
Dopo un esame più approfondito, abbiamo scoperto che il processo padre era in esecuzione con la seguente riga di comando:
/Utenti/<nome utente>/Libreria/Supporto applicazioni/.17066225541972342347/Servizi/com.BasicIndex.service/BasicIndex.service” -s 6600
Il nome della cartella com.BasicIndex.service è un falso servizio macOS attribuito ad Adload , una famiglia di minacce macOS molto diffusa
I malintenzionati possono sfruttare la vulnerabilità “HM Surf” utilizzando diverse tecniche. Una delle più comuni è l’iniezione di codice, in cui un attaccante riesce a inserire istruzioni dannose in un’applicazione legittima. Inoltre, l’uso di phishing e ingegneria sociale è spesso combinato con sfruttamenti di vulnerabilità software per aumentare la probabilità di successo di un attacco. I professionisti IT dovrebbero monitorare costantemente le attività sospette sui loro sistemi e implementare misure di sicurezza per prevenire tali attacchi.
Metodi di mitigazione
La ricerca continua sulle vulnerabilità nelle tecnologie di sicurezza come TCC nei dispositivi macOS è importante per garantire che i dati degli utenti siano protetti da accessi non autorizzati. I fornitori di software sono sempre in una serrata corsa contro gli attori malintenzionati per scoprire vulnerabilità e affrontarle prima che vengano sfruttate per attacchi. Le scoperte e le intuizioni della nostra ricerca, tra cui vulnerabilità come Migraine , powerdir e Shrootless , arricchiscono le nostre tecnologie e soluzioni di protezione come Microsoft Defender for Endpoint , che consente alle organizzazioni di scoprire e correggere rapidamente le vulnerabilità nelle loro reti che stanno diventando sempre più eterogenee.
Inoltre, Microsoft Defender for Endpoint utilizza analisi comportamentali avanzate e apprendimento automatico per rilevare attività anomale su un dispositivo, come la creazione di directory home falsificate, una tecnica precedentemente utilizzata in altre vulnerabilità. Nell’esempio fornito nella sezione precedente, Microsoft Defender for Endpoint rileva le modifiche alla directory privata di Safari, nonché alle directory private di browser di terze parti, come sospette. Estendendo il concetto, Defender for Endpoint ha rilevamenti simili per l’accesso a file sensibili (incluse le impostazioni specifiche di Safari) da parte di un’applicazione non Safari.
Apple ha anche introdotto nuove API per App Group Containers che rendono SIP (System Integrity Policy) che proteggono i file di configurazione da modifiche da parte di un aggressore esterno, risolvendo la classe di vulnerabilità. Al momento, solo Safari utilizza le nuove protezioni fornite da TCC. Microsoft sta attualmente collaborando con altri importanti fornitori di browser per investigare i vantaggi del rafforzamento dei file di configurazione locali. Mentre Chromium e Firefox devono ancora adottare le nuove API, Chromium si sta muovendo verso l’utilizzo di os_crypt che risolve l’attacco in un modo diverso.
Microsoft continua a monitorare il panorama delle minacce per scoprire nuove vulnerabilità e tecniche degli aggressori che potrebbero influenzare macOS e altri dispositivi non Windows. Poiché le minacce multipiattaforma continuano ad aumentare, una risposta coordinata alle scoperte di vulnerabilità e altre forme di condivisione di intelligence sulle minacce contribuiranno ad arricchire le tecnologie di protezione che proteggono l’esperienza informatica degli utenti indipendentemente dalla piattaforma o dal dispositivo che stanno utilizzando.
Aggiornamenti di sistema
Il primo passo nella mitigazione della vulnerabilità “HM Surf” è garantire che tutti i sistemi siano aggiornati con le ultime patch di sicurezza. Apple rilascia regolarmente aggiornamenti di sicurezza per correggere vulnerabilità note. È fondamentale configurare i sistemi per ricevere aggiornamenti automatici e monitorare regolarmente i bollettini di sicurezza di Apple.
Controllo delle applicazioni
La necessità d’ implementare un rigoroso controllo delle applicazioni installate sui sistemi macOS è una pratica indispensabile, è consigliabile utilizzare solo applicazioni provenienti da fonti affidabili, come l’App Store di Apple.
Educazione degli utenti
Un altro aspetto cruciale nella mitigazione della vulnerabilità è l’educazione degli utenti. Gli utenti devono essere formati a riconoscere tentativi di phishing e a non aprire allegati o link sospetti. Le organizzazioni possono organizzare corsi di formazione sulla sicurezza informatica per aumentare la consapevolezza degli utenti riguardo ai rischi associati all’uso di software vulnerabile.
Backup dei dati
Infine, è essenziale eseguire regolarmente backup dei dati. In caso di attacco riuscito, avere un backup aggiornato può ridurre significativamente l’impatto di un’infezione da malware o di una violazione dei dati. Le soluzioni di backup devono essere testate per garantire che i dati possano essere ripristinati in modo efficace.
Apple Support. (2024). “How to back up your Mac”. Link a Apple Support.