首页> 科技 > 正文

Apple批准臭名昭著的恶意软件在Mac上运行

2020-09-10 14:54:22来源:编辑:

Apple恶意软件防护何时会给用户带来比根本上更大的风险?当它证明特洛伊木马是安全的时,即使它像拇指一样伸出来,也代表了macOS平台上最大的威胁之一。

世界收到此对象课上周末苹果公司给它的首肯,以最新样本“Shlayer,”给那个一直位居木马名称后最-如果不是在 Mac的恶意软件的最丰富的片二级以上年份。苹果公司在macOS Mojave中采用了公证机制的形式表示认可,正如苹果所说的那样,旨在“让用户更有信心”,他们所安装的应用程序“已经由Apple检查过恶意组件”。

随着macOS Catalina的推出,公证成为所有应用程序的要求。除非使用Apple未提及的方法进行安装(稍后会详细介绍),否则未经公证的应用程序将生成以下通知,指出“由于Apple无法检查恶意软件,因此无法打开”。

经典Shlayer ...有很大的不同

上周五,大学生彼得·H·丹蒂尼(Peter H. Dantini)发现,自制程序[。] sh(合法的自制程序网站brew.sh的仿冒品)正在推送虚假的Adobe Flash更新,并警告用户其当前版本缺少最新的安全更新。

这是一个经典的Shlayer活动,类似于数百或数千个以前的活动,除了使用一个关键区别外,该活动还使用伪造的Flash更新来感染广告软件的用户,但有一个主要区别:该木马已由Apple进行了公证。macOS和iOS企业管理公司Jamf的安全研究员Patrick Wardle表示,他相信这是第一个获得公证“认可印章”的恶意软件。

Wardle上周五将错误的经过公证的文件通知了苹果,该公司迅速撤销了该认证,此举阻止了特洛伊木马感染最新的Mac。Wardle说,周日,他发现该网站正在提供新的恶意负载,这些负载再次被Apple公证。

“不幸的是,一个承诺信任但未能交付的系统最终可能使用户面临更大的风险,” Wardle在帖子中写道。“为何如此?如果Mac用户支持Apple的主张,他们很可能会完全信任任何经过公证的软件。这是非常有问题的,因为已知的恶意软件(例如OSX.Shlayer)已经(通常是?)获得了这种公证!”

防病毒提供商Malwarebytes也对此表示怀疑:“不幸的是,它开始看起来像公证可能会降低安全性,并增加安全性。”

辩护公证

苹果官方在一份声明中写道:“恶意软件不断变化,苹果的公证系统可帮助我们阻止Mac上的恶意软件,并在发现恶意软件后迅速做出响应。得知此广告软件后,我们撤销了所标识的变体,禁用了开发者帐户,并撤销了相关的证书。我们感谢研究人员在确保用户安全方面所提供的帮助。”

在苹果公司的辩护中,该公司一直很清楚,公证是“一种自动化系统,可以扫描您的软件中是否包含恶意内容,检查代码签名问题,并将结果快速返回给您。” 因此,Apple从未将其作为全面的安全检查进行展示。

苹果公司支持的另一点是:当Dantini发现该恶意软件并将其报告给Wardle时,该样本未检测到Virus Total,这是由Alphabet所有的恶意软件扫描服务,该服务汇总了60多个AV提供程序的结果。而且,尽管Google的保镖服务据称扫描了恶意活动,但Google Play商店仍会定期接受恶意应用。

即使公证阻止了应用的正常安装,解决该机制也并不困难。如下图的屏幕快照所示,出于恶意软件字节的目的,Shlayer的未经公证的版本长期以来都带有带有自定义背景的标记,这些标记指示它们右键单击磁盘映像文件,而不是像通常一样双击它,然后选择打开。

无牙...使用起来很痛苦

进一步阅读

macOS 10.15 Catalina:The Ars Technica评测

同时,正如去年 Ars自由撰稿人安德鲁·坎宁安(Andrew Cunningham)所指出的那样,公证对于用户和开发人员都是负担。大概是Apple要求它加强以前引入的代码签名保护,这要求开发人员使用Apple发行的加密证书对他们的应用程序进行身份验证。如果该服务使用户更安全,则可以说不便是值得的。如果新功能给用户带来了错误的安全感,则很难进行争论。

当公证程序无法检测到该恶意软件家族时,它看起来尤其没牙。正如卡巴斯基实验室(Kaspersky Lab)在1月份报道的那样,Shlayer一直是macOS的头号威胁,已经持续了大约两年,占2019年OS上所有检测到的30%左右。Shlayer还远远超出了广告软件的滋扰。例如,在使用点击劫持技术诱使用户安装自签名密码证书之后,恶意软件解密并读取所有加密的HTTPS通信。它还收集用户ID。

苹果公司的愚蠢之举变得更加难以理解,例如当文件出现在周五和周日再次出现时。

“那是一个虚假的Flash播放器更新……带有Adobe图标以及所有……当然不是由Adobe签名的,” Wardle在一次在线聊天中告诉我。“您曾经以为这是一个很大的危险信号,苹果公司将直截了当地阻止任何东西,例如,嗯,任何冒充'Flash'更新的东西...是的,不,请不要公证,因为谁在乎它在做什么(例如,它是什么恶意软件/广告软件)。这是假的/恶意的。”

标签: Apple

版权声明

    转载此文是出于传递更多信息之目的。若有来源标注错误或侵犯了您的合法权益,请作者持权属证明与本网联系,我们将及时更正、删除,谢谢您的支持与理解。