L’outil de détection de logiciels malveillants d’Apple est « trivial » et facile à contourner

un de tes Les outils de détection de logiciels malveillants intégrés à votre Mac peuvent ne pas fonctionner aussi bien que vous le pensez. Lors de la conférence sur les hackers Defcon à Las Vegas, Patrick Wardle, chercheur en sécurité Mac hérité, a présenté aujourd’hui ses conclusions sur les vulnérabilités du mécanisme de gestion des tâches en arrière-plan macOS d’Apple, qui pourraient être exploitées pour contourner et, à son tour, vaincre l’outil de surveillance récemment ajouté par l’entreprise.

Il n’y a pas de moyen infaillible d’attraper les logiciels malveillants sur les ordinateurs avec une précision totale, car à la base, les logiciels malveillants ne sont que des logiciels, comme un navigateur Web ou une application de chat. Il peut être difficile de distinguer un logiciel légitime d’un logiciel incriminé. Ainsi, les fabricants de systèmes d’exploitation tels que Microsoft et Apple, ainsi que les sociétés de sécurité tierces, développent constamment de nouveaux mécanismes et outils de détection capables de détecter le comportement des logiciels malveillants de nouvelles manières.

L’outil de gestion des tâches en arrière-plan d’Apple se concentre sur la surveillance de la « persistance » des programmes. Les logiciels malveillants peuvent être conçus pour être éphémères et ne s’exécuter que brièvement sur un appareil ou jusqu’au redémarrage de l’ordinateur. Mais il peut également être conçu pour s’installer plus profondément et « continuer » sur la cible même lorsque l’ordinateur est éteint et rallumé. De nombreux logiciels légitimes nécessitent de la persévérance, de sorte que toutes vos applications, données et préférences s’afficheront lorsque vous les quitterez chaque fois que vous allumerez votre appareil. Mais si les programmes s’avèrent persistants de manière inattendue ou tout d’un coup, cela pourrait être le signe de quelque chose de malveillant.

Dans cet esprit, Apple a ajouté un gestionnaire de tâches en arrière-plan dans macOS Ventura, lancé en octobre 2022, pour envoyer des notifications directement aux utilisateurs et à tout outil de sécurité tiers exécuté sur un système si un « événement persistant » se produit. De cette façon, si vous savez que vous venez de télécharger et d’installer une nouvelle application, vous pouvez ignorer le message. Mais si vous ne le faites pas, vous pouvez enquêter pour savoir si vous avez été piraté.

Il doit y avoir un outil [that notifies you] Quand quelque chose s’installe constamment, c’est bien pour Apple de l’ajouter, mais la mise en œuvre était si médiocre que tout logiciel malveillant assez sophistiqué pouvait facilement contourner la surveillance », déclare Wardle à propos des conclusions de Defcon.

Apple n’a pas pu être joint pour commenter.

Dans le cadre de la fondation Objective-See, qui fournit des outils de sécurité macOS gratuits et open source, Wardle a introduit un outil similaire pour la notification d’événements de persistance connu sous le nom de blocbloc pendant des années. « Parce que j’ai écrit des outils similaires », dit-il, « je connais les défis auxquels mes outils étaient confrontés, et je me demandais si les outils et les frameworks d’Apple avaient les mêmes problèmes à résoudre – et ils le font. » Les logiciels malveillants peuvent toujours persister de manière totalement invisible.

Lorsque le gestionnaire de tâches en arrière-plan est apparu pour la première fois, Wardle a découvert certains problèmes de base avec l’outil qui provoquaient l’échec des notifications d’événements de persistance. il mentionné Apple les, et la société a corrigé l’erreur. Mais la société n’a pas identifié de problèmes plus profonds avec l’outil.

« Nous avons fait des allers-retours et finalement, ils ont résolu ce problème, mais c’était comme mettre du ruban adhésif sur un avion quand il s’est écrasé », explique Wardle. « Ils n’avaient pas réalisé que la fonctionnalité nécessitait beaucoup de travail. »