![Или есть? Или есть?](https://habrastorage.org/r/w1560/getpro/habr/upload_files/99c/971/b6a/99c971b6ad3c338f83dbc31d3ea84dee.jpeg)
Или есть?
Подход Apple к информационной безопасности приводит к тому, что некоторые пользователи Mac не обращают внимание на то, что происходит с их компьютерами. В этом посте я старался разобраться в основных механизмах защиты macOS от вредоносных программ и выделить их недостатки, но в результате выяснилось, что «проблема» — это сама репутация macOS.
В 2006-2009 годах Apple провела рекламную кампанию, в которой сравнивала PC и Mac. В одном из роликов явно простуженный Джон Ходжман (John Hodgman) в нескладном деловом костюме изображал PC.
На этом фоне Джастин Лонг (Justin Long) в роли Mac, напротив, смотрелся молодо и стильно. Реклама продвигала мысль о том, что «Mac не заражаются вирусами». Однако это было не так. Прежде хакеры почти не обращали внимания на эту операционную систему из-за небольшой доли рынка, но, похоже, реклама спровоцировала их.
В 2007 году появилось сразу несколько вредоносных программ, написанных специально для OS X. Первой была
Для просмотра ссылки необходимо нажать
Вход или Регистрация
(Oompa-A). Она распространялась через iChat. Затем был обнаружен
Для просмотра ссылки необходимо нажать
Вход или Регистрация
— первый зловред для этой платформы, нацеленный на кражу финансовых данных. Он изменял настройки DNS и перенаправлял пользователей на фишинговые сайты. ФБР справилось с RSPlug, однако бюро продолжало поддерживать DNS-сервер, на который ссылался вирус, еще несколько лет. Если бы они выключили его сразу, сотни тысяч пользователей Mac на время потеряли ли бы доступ к интернету.И это было только начало, вот еще несколько громких случаев:
- В 2016 году Mac был атакован программой-вымогателем
Для просмотра ссылки необходимо нажать Вход или Регистрация, которая проникала в систему через зараженный установщик Transmission.
- В 2019 году исследователь кибербезопасности Филиппо Кавалларин (Filippo Cavallarin)
Для просмотра ссылки необходимо нажать Вход или Регистрацияв macOS Catalina уязвимость, которая позволяла обойти защитный механизм Gatekeeper (о нем я расскажу ниже).
- В 2018-2020 годах Mac был атакован трояном
Для просмотра ссылки необходимо нажать Вход или Регистрация, который маскировался под установщик Adobe Flash Player.
- В 2020 году пользователи Mac столкнулись с вымогателем
Для просмотра ссылки необходимо нажать Вход или Регистрация.
- В 2021 году много шума наделал
Для просмотра ссылки необходимо нажать Вход или Регистрация— вредонос, который собирал учетные данные из браузеров, делал скриншоты, регистрировал нажатия клавиш и загружал другое вредоносное ПО.
- Также в 2021 году Эри Эрнандес (Erye Hernandez) обнаружил уязвимость
Для просмотра ссылки необходимо нажать Вход или Регистрация, которая позволяла выполнять произвольный код с привилегиями ядра.
- В 2022 году Apple
Для просмотра ссылки необходимо нажать Вход или Регистрация, которое закрыло уязвимости, дающие полный контроль над устройством. Одна из них относилась к ядру, а другая затронула WebKit — базовую технологию браузера Safari.
Для просмотра ссылки необходимо нажать
Вход или Регистрация
. Я же лишь хотел привести примеры.Список вредоносов и инцидентов безопасности, связанных с macOS, можно продолжать долго. Конечно, они не сравнятся с зоопарком угроз для Windows, однако эти риски нужно принимать в расчет. Правда в том, что Mac, как и любой другой компьютер, может быть взломан. Apple понимает это и прикладывает много усилий, чтобы обезопасить своих пользователей.
Основные элементы защиты macOS от вредоносных программ
В отличие от Microsoft, Apple до сих пор не встроила в операционную систему хорошо заметный антивирус, подобный Windows Defender. Однако уже в 2009 году в macOS появились базовые защитные механизмы. С тех пор Apple незаметно, но последовательно ужесточает контроль над своей экосистемой.Современная macOS имеет разнообразные механизмы защиты данных:
Для просмотра ссылки необходимо нажать
Вход или Регистрация
,
Для просмотра ссылки необходимо нажать
Вход или Регистрация
,
Для просмотра ссылки необходимо нажать
Вход или Регистрация
(SIP),
Для просмотра ссылки необходимо нажать
Вход или Регистрация
. В широком смысле это и FileVault, Find My Mac и Touch ID, однако сейчас мы сосредоточимся на эшелонированной защите от вредоносного программного обеспечения:- File Quarantine;
- Gatekeeper;
- XProtect;
- TCC;
- Malware Removal Tool (MRT);
- XProtect Remediator (XPR).
File Quarantine
File Quarantine — исторически один из первых механизмов защиты macOS. В 2007 году операционная система начала помечать загруженные из интернета файлы и требовать дополнительного подтверждения перед их запуском.![Предупреждение перед открытием RTF-документа (источник скриншота) Предупреждение перед открытием RTF-документа (источник скриншота)](https://habrastorage.org/r/w1560/getpro/habr/upload_files/5e7/39a/f5e/5e739af5e5ca35a5bd2897f2a69094e9.png)
Предупреждение перед открытием RTF-документа (
Для просмотра ссылки необходимо нажать
Вход или Регистрация
)File Quarantine срабатывает, когда пользователь загружает контент за пределами App Store, например, при помощи таких приложений, как браузер или торрент-клиент. При этом приложение добавляет специальную пометку в метаданные файла. По сути, это аналог
Для просмотра ссылки необходимо нажать
Вход или Регистрация
в Windows.![Quarantine flag в метаданных файла (источник скриншота) Quarantine flag в метаданных файла (источник скриншота)](https://habrastorage.org/r/w1560/getpro/habr/upload_files/c19/cb4/cd6/c19cb4cd68f7d6ad2b45138ad7438b6b.png)
Quarantine flag в метаданных файла (
Для просмотра ссылки необходимо нажать
Вход или Регистрация
)File Quarantine не гарантировал полной защиты от случайного запуска вредоносного ПО. Он плохо работал по двум причинам:
- MacOS применяла пометку
Для просмотра ссылки необходимо нажать Вход или Регистрация, а не только к приложениям, поэтому пользователи привыкли игнорировать всплывающие окна и машинально нажимали «Открыть».
- Во всплывающем окне не было объяснений и рекомендаций относительно выбора надежных источников файлов.
Gatekeeper
В 2012 году поверх File Quarantine был построен новый защитный механизм — Gatekeeper. Это, пожалуй, основное средство обеспечения безопасности в работающей операционной системе. Привратник — условно, подобие SmartScreen в Windows — это подсистема, которая блокирует запуск непроверенных приложений. Он по прежнему использует атрибут com.apple.quarantine, но работает только с исполняемыми файлами. Если загрузить изображение из интернета и открыть его в родном приложении Apple Preview, оно не будет проверено Gatekeeper. Кроме того, Привратник работает только с файлами, по которым дважды кликнули мышью. Так, Gatekeeper не реагирует на простые сценарии .sh, запускаемые из командной строки, а если добавить к такому файлу расширение .command, получится интерактивный сценарий, и Gatekeeper проведет его проверку.Кроме того, пометка com.apple.quarantine устанавливается приложением, через которое получен файл (обычно этим занимаются браузеры). И без нее система не может определить его происхождение. Поэтому большинство вредоносных программ в MacOS используют Curl или Wget для заливки полезной нагрузки на компьютер. Эти утилиты не помечают скачанные файлы.
Еще стоит отметить, что есть файловые системы, не поддерживающие метаданные, которые использует карантин, скажем, сетевые общие диски (smb и nfs). С этим связано несколько уязвимостей, например,Так, например, Trojan.OSX.Shlayer. имел в качестве основного исполняемого файла Bash или Python-скрипт в зависимости от версии, не попадал под проверку Gatekeeper и догружал свои компоненты через Curl
Для просмотра ссылки необходимо нажать
Вход или Регистрация
.![Предупреждение Gatekeeper (источник скриншота) Предупреждение Gatekeeper (источник скриншота)](https://habrastorage.org/r/w1560/getpro/habr/upload_files/032/e00/185/032e0018523ff8e0bf59aa89c07dbe2c.png)
Предупреждение Gatekeeper (
Для просмотра ссылки необходимо нажать
Вход или Регистрация
)Первое время Привратник проверял только валидность подписи и действительность связанного с ней идентификатора разработчика Apple. Однако де факто, подпись может получить любой желающий и ее наличие не гарантирует, что подписанный код не вредоносный.
В 2019 году с выпуском macOS 10.15 (Catalina) Apple стала требовать от разработчиков, которые будут распространять свои приложения не через AppStore, отправлять свой код на ревью. Было введено так называемое нотариальное заверение (notarization status) приложений. Теперь Gatekeeper также проверяет статус нотариального заверения приложений.
![Именно Gatekeeper запрещает выполнение приложений, скачанных из сторонних источников, если в настройках системы установлена соответствующая метка Именно Gatekeeper запрещает выполнение приложений, скачанных из сторонних источников, если в настройках системы установлена соответствующая метка](https://habrastorage.org/r/w1560/getpro/habr/upload_files/45f/f9c/f9b/45ff9cf9bc34981ec50cd71f244abb22.png)
Именно Gatekeeper запрещает выполнение приложений, скачанных из сторонних источников, если в настройках системы установлена соответствующая метка
После проверки подписей Gatekeeper инициирует сканирование при помощи XProtect (о нем мы еще поговорим ниже).
![8f5e7b4deeca3bfd86dc50b8b8bb957f.png](https://habrastorage.org/r/w1560/getpro/habr/upload_files/8f5/e7b/4de/8f5e7b4deeca3bfd86dc50b8b8bb957f.png)
Однако я не зря упомянул про двойной щелчок. Если щелкнуть правой кнопкой мыши на приложение и нажать «Открыть», GateKeeper не сработает. Строго говоря, это не баг и не уязвимость, а фича, которую Apple ввела для удобства открытия неподписанных приложений. Вредоносы активно используют эту возможность, чтобы обойти GateKeeper при помощи социальной инженерии.
Взять, например, установщик рекламного ПО
Для просмотра ссылки необходимо нажать
Вход или Регистрация
. Он не подписан, но снабжен инструкциями, призывающими использовать для запуска правую кнопку мыши.![Инструкция по установке рекламного ПО Chropex (источник скриншота) Инструкция по установке рекламного ПО Chropex (источник скриншота)](https://habrastorage.org/r/w1560/getpro/habr/upload_files/46c/502/0ec/46c5020ec6dbefc8ad1f59816def1de8.png)
Инструкция по установке рекламного ПО Chropex (
Для просмотра ссылки необходимо нажать
Вход или Регистрация
)Точно так же в 2020 году злоумышленники инструктировали пользователей перед установкой
Для просмотра ссылки необходимо нажать
Вход или Регистрация
.![Установщик Shlayer (источник скриншота) Установщик Shlayer (источник скриншота)](https://habrastorage.org/r/w1560/getpro/habr/upload_files/456/096/1cd/4560961cd70df0cf3ae7380380347673.png)
Установщик Shlayer (
Для просмотра ссылки необходимо нажать
Вход или Регистрация
)Существуют и другие способы обойти Gatekeeper. Некоторые расширения в macOS находятся в белом списке и не требуют заверения. Как и в Windows здесь существует вектор заражения через макросы Microsoft Office. Кроме того, некоторые злодеи используют краденые сертификаты разработчиков.
XProtect
XProtect — еще один защитный компонент, который появился в 2009 году в обновлении Snow Leopard в качестве дополнения к карантину. Как и многие другие улучшения безопасности macOS, запуск XProtect не афишировался.![Файл XProtect.yara содержит исчерпывающий список правил по которым XProtect ищет вредоносные программы (источник скриншота) Файл XProtect.yara содержит исчерпывающий список правил по которым XProtect ищет вредоносные программы (источник скриншота)](https://habrastorage.org/r/w1560/getpro/habr/upload_files/204/23f/d83/20423fd8341861752e967e129e88f5df.png)
Файл XProtect.yara содержит исчерпывающий список правил по которым XProtect ищет вредоносные программы (
Для просмотра ссылки необходимо нажать
Вход или Регистрация
)По сути, это статический список правил Yara — двоичных шаблонов с описаниями вредоносных программ. Их можно найти на компьютере через locate XProtect.yara. В дополнение к этому файлу существует еще набор списков свойств (plist). Например, XProtect.meta.plist — черный список плагинов Safari и gk.db и черный список приложений.
XProtect предназначен для сигнатурного анализа. Причем, это не простое сравнение хэшей, а поиск подозрительных строк внутри файлов, байтовых последовательностей, атрибутов исполняемых файлов и так далее. Такой подход позволяет обнаруживать новые образцы вредоносных программ, основанные на уже известных фрагментах вредоносного кода.
![Предупреждение от XProtect (источник скриншота) Предупреждение от XProtect (источник скриншота)](https://habrastorage.org/r/w1560/getpro/habr/upload_files/c33/c21/334/c33c21334dd3aa4212a0c10c57222c58.png)
Предупреждение от XProtect (
Для просмотра ссылки необходимо нажать
Вход или Регистрация
)Если файл оказывается опасным, XProtect выдает зловещее предупреждение и предлагает переместить его в корзину. Если пользователь соглашается, система записывает файл диагностики: ~/Library/Logs/DiagnosticReports/XProtect_XXX-Mac.diag.
![Тот самый диагностический отчет (источник скриншота) Тот самый диагностический отчет (источник скриншота)](https://habrastorage.org/r/w1560/getpro/habr/upload_files/daf/75a/734/daf75a734bde9a50463bd82da5b1a246.jpeg)
Тот самый диагностический отчет (
Для просмотра ссылки необходимо нажать
Вход или Регистрация
)XProtect запускает сканирование только при соблюдении одного из трех условий:
- если файл запускается впервые;
- если хэш файла изменился;
- если обновлены правила XProtect Yara.
ТСС
TCC (Transparency, Consent, and Control) представляет собой набор баз данных SQLite, которые используются для контроля доступа приложений к различным сервисам и функциям компьютера.Одна база находится в корневом каталоге (/Library/Application Support/com.apple.TCC/TCC.db), еще одна располагается в библиотеке у каждого пользователя (по адресу: ~/Library/Application Support/com.apple.TCC/TCC.db). Базы содержат информацию о том, какие функции компьютера доступны конкретным приложениям, и когда пользователь дал или отозвал свое разрешение на такой доступ.
![Предупреждение TCC в macOS Catalina (источник скриншота) Предупреждение TCC в macOS Catalina (источник скриншота)](https://habrastorage.org/r/w1560/getpro/habr/upload_files/8fe/099/51e/8fe09951e9a5a1dad8128eb79d0d743b.png)
Предупреждение TCC в macOS Catalina (
Для просмотра ссылки необходимо нажать
Вход или Регистрация
)Так, например, TCC запрашивает разрешение, когда пользователь запускает приложение, которому нужен доступ к микрофону. Идея TCC в том, чтобы ограничить возможности программ по взаимодействию с важными компонентами системы.
Среди них есть, например, accessibility. Она нужна, чтобы люди с ограниченными возможностями могли пользоваться Mac, но с точки зрения разработчика — это специальный фреймворк, который позволяет приложениям взаимодействовать с системным интерфейсом с помощью вызовов API, скажем, двигать курсор. С его помощью малварь может, например, прокликивать предупреждения Gatekeeper.
![6293a626d875fd25540fb6b4f655e535.png](https://habrastorage.org/r/w1560/getpro/habr/upload_files/629/3a6/26d/6293a626d875fd25540fb6b4f655e535.png)
В теории, получив полный доступ к диску (FDA), злоумышленник может отредактировать базы TCC и обойти этот механизм, но для этого необходимо отключить SIP. С новыми версиями операционной системы провернуть такой трюк сложно, однако существуют примеры таких атак. Некоторые можно найти, например,
Для просмотра ссылки необходимо нажать
Вход или Регистрация
. Malware Removal Tool (MRT)
MRT — еще одно подобие антивируса в macOS. Это приложение и его можно запустить непосредственно из командной строки. Но обычно MRT запускается без взаимодействия с пользователем при входе в систему или при перезагрузке компьютера. Оно удаляет все файлы, которые соответствуют определенным статическим шаблонам или находятся в определенных каталогах.Если поместить исполняемый файл MRT в дизассемблер,
Для просмотра ссылки необходимо нажать
Вход или Регистрация
этот сканер. Все они ассоциированы с теми или иными вредоносными программами.![MRT завершает вредоносные процессы и удаляет подозрительные файлы (источник скриншота) MRT завершает вредоносные процессы и удаляет подозрительные файлы (источник скриншота)](https://habrastorage.org/r/w1560/getpro/habr/upload_files/b40/0d0/309/b400d03095ce1711b554bd9b0fdbb4d5.jpeg)
MRT завершает вредоносные процессы и удаляет подозрительные файлы (
Для просмотра ссылки необходимо нажать
Вход или Регистрация
)В качестве эксперимента можно создать пустые файлы по одному из этих адресов, и MRT вскоре их удалит. При этом Malware Removal Tool не анализирует содержимое файлов. Это чрезвычайно простой инструмент, так что не удивительно, что Apple разрабатывает альтернативу.
XProtect Remediator (XPR)
Скорее всего XPR постепенно заменит Malware Removal Tool, но пока они работают одновременно. XProtect Remediator представляет собой пакет из четырнадцати двоичных файлов, предназначенных для обнаружения определенных семейств вредоносных программ и борьбы с активным заражением. Он использует процедуры лечения, специально разработанные под конкретные семейства вредоносных программ.![Файлы XRP (источник скриншота) Файлы XRP (источник скриншота)](https://habrastorage.org/r/w1560/getpro/habr/upload_files/69a/f3e/aaa/69af3eaaaf5216ea4c5392dde2069ad1.jpeg)
Файлы XRP (
Для просмотра ссылки необходимо нажать
Вход или Регистрация
)Изначально XProtect Remediator спроектирован как средство удаления компонентов вредоносных программ, обнаруженных при помощи XProtect. Сейчас XProtect Remediator также выполняет регулярные сканирования, которые делятся на три группы, отличающиеся глубиной и интервалом:
- fast — каждые 6 часов;
- regular — каждые 24 часа;
- slow — каждые 7 дней.
Что интересно, Apple может изменять частоту сканирования XPR в зависимости от активности вредоносных программ. Большую часть лета 2022 года
Для просмотра ссылки необходимо нажать
Вход или Регистрация
. Теперь, когда пик эпидемии пройден, сканирование происходит реже.Кстати, предупреждения о вредоносах в далеко не всегда хорошо понятны. В индустрии до сих пор нет единого стандарта наименования вредоносных программ и Apple не исключение. Под капотом, например, в базе XProtect Yara, используется полурандомизированный шестнадцатеричный код. В то же время XProtect и XProtect Remediator оперируют другими кодовыми именами, которые не встречаются нигде, кроме как в экосистеме Apple. Это мешает пониманию того, с чем именно вы столкнулись.
![MACOS.2070d41 на самом деле — известный вредонос XCSSET, который Apple иногда называет DubRobber A (источник скриншота) MACOS.2070d41 на самом деле — известный вредонос XCSSET, который Apple иногда называет DubRobber A (источник скриншота)](https://habrastorage.org/r/w1560/getpro/habr/upload_files/f1e/e40/262/f1ee40262431e8cda7f288b35fe0ea34.png)
MACOS.2070d41 на самом деле — известный вредонос XCSSET, который Apple иногда называет
Для просмотра ссылки необходимо нажать
Вход или Регистрация
(
Для просмотра ссылки необходимо нажать
Вход или Регистрация
)Более того, вы получаете только часть предупреждений. XProtect сообщает о срабатывании пользователю. Это хорошо, даже если имя вредоносной программы толком не гуглится, в то же время XProtect Remediator не показывает результаты регулярного сканирования в виде предупреждений или уведомлений.
В macOS Catalina и Monterey XPR-отчеты записываются только в
Для просмотра ссылки необходимо нажать
Вход или Регистрация
. В Ventura они также доступны для программных клиентов
Для просмотра ссылки необходимо нажать
Вход или Регистрация
, но в качестве такой утилиты по умолчанию с macOS поставляется довольно неудобный
Для просмотра ссылки необходимо нажать
Вход или Регистрация
. Для записи событий и ведения журнала этот клиент нужно держать постоянно запущенным.Самая современная из систем защиты macOS толком не информирует пользователя о своей работе. А без обратной связи у пользователя нет стимулов менять свое поведение, даже если он неоднократно сталкивается с опасными файлами.
Безопасна ли macOS?
Тем не менее, нужно признать: с точки зрения общественного мнения о безопасности macOS привычка Apple не обременять пользователей технической информацией отлично работает. Если вы обычный пользователь, то доверяете свою безопасность Apple и довольны тем, что компьютер не пугает вас свинячим визгом антивируса. И доверяете не зря.В сочетании с включенным
Для просмотра ссылки необходимо нажать
Вход или Регистрация
и регулярными обновлениями системы встроенные защитные механизмы MacOS обеспечивают высокий уровень защиты для рядовых пользователей с типичной моделью угроз. К тому же, вредоносных программ для MacOS все еще в разы меньше, чем для той же Windows.В итоге, многие аналитики из нашей, да и не только нашей компании, называют актуальные компьютеры Apple — наиболее защищенными устройствами для среднестатистического пользователя.
Иллюзия защищенности как угроза корпоративной безопасности
Однако Mac становятся все более распространенными в корпоративной среде. Тут важно помнить, что безопасность Mac зависит не только от встроенных защитных механизмов, какими бы совершенными они ни были, но и от действий самого пользователя. Отключение SIP и XProtect, пропуск обновлений и неосторожное поведение заметно повышают риски. Кроме того, безопасность macOS все еще во многом построена на том, что система регулярно переспрашивает пользователя перед совершением тех или иных действий.Вряд ли это можно назвать полноценным недостатком модели безопасности операционной системы, но со временем эти сообщения могут вызвать некий аналог баннерной слепоты. И мнение о том, что на Mac нет вирусов, которое до сих пор широко распространено, здесь играет злую шутку. Уверенные в своей безопасности пользователи легче поддаются на уловки из арсенала социальных инженеров и склонны прокликивать предупреждения которые выводит операционная система, не вникая в их содержание.
Да, даже если пользователь не задумывается о цифровой гигиене, вероятность заражения одного конкретного Mac в течение его жизненного цикла низка, но когда в инфраструктуре сотни или тысячи таких машин, ситуация меняется. На больших масштабах даже маловероятные события случаются с завидной регулярностью. Поэтому хочется подчеркнуть, что в корпоративной безопасности нельзя полагаться исключительно на репутацию операционной системы, какими бы совершенными ни были ее защитные механизмы.
В некоторых компаниях, которые пользуются Mac, и просто уделяют недостаточно внимания ИБ. Например, я видел адвокатское бюро, специализирующееся на спорах между компаниями (у них было море чувствительной информации), которое полностью полагалось на дефолтные настройки Mac из-за их репутации и больше ничего не делало для защиты данных клиентов. Модели угроз, бэкапы, контроль доступов, обучение сотрудников, аудиты и обновления ПО — нет, не слышали. А в корпорациях со смешанной инфраструктурой компьютеры Apple порой оказываются неуправляемыми устройствами.
Когда Mac оказываются слепым пятном и не контролируются SOC, на них встречаются базовые проблемы, например: пользователи, работающие из-под администратора и отключенные брандмауэры (и то и другое — стандартная конфигурация).— У нас банк, у нас тут нет компьютеров Apple!
— А у вас есть приложение для iOS? А как оно разрабатывается? Ведь вы не можете скомпилировать iOS-приложение на Windows.
Таким образом, если собираетесь использовать компьютеры Mac в своей компании, будь то малый бизнес или корпорация, не бросайте их на произвол судьбы, не полагайтесь исключительно на Apple. Этим компьютерам и их пользователям следует уделить внимание, как и любым другим:
- Подключите все Mac к системе удаленного управления устройствами (MDM). Они нуждаются в централизованном управлении. Также MDM позволяет запретить пользователям загружать приложения вне App Store и помогает следить за установкой обновлений.
- Убедитесь, что на Mac активирована защита целостности системы SIP. Она затрудняет повышение привилегий для потенциальных атакующих. Включите брандмауэр, Gatekeeper и шифрование.
- Отключите макросы Word. Вряд ли вообще кто-то, кроме хакеров пользуется ими на этой платформе.
- Проведите инструктаж по цифровой гигиене среди сотрудников и закрепите результат при помощи учений, например, имитации фишинговой рассылки.
Для просмотра ссылки необходимо нажать
Вход или Регистрация