实施门槛较高：新方法可绕过苹果 macOS 安全机制运行恶意软件

7 月 25 日消息，科技媒体 AppleInsider 昨日（7 月 24 日）发布博文，报道称研究人员发现了一种方法，可以绕过苹果 macOS 的安全机制并运行恶意软件。

援引博文介绍，该方法实施门槛相对较高，需要满足以下 3 个条件：

用户已在 Mac 设备下载并安装应用

至少启动运行过 1 次

攻击者已获得目标 Mac 的远程或物理访问权限

该媒体还指出从 Mac App Store 下载的应用程序不会受到此漏洞的影响，只有从网站下载的应用程序才可能受到影响，因此在实际使用场景下遭到这种攻击的风险并不高。

该方法由安全专家 Talal Haj Bakry 与 Tommy Mysk 发现，指出在满足上述条件情况下，攻击者不需要提升权限，就能静默替换从网页下载的应用主可执行文件，会让受信任应用在重新启动时执行攻击者控制的代码，并且不会触发安全警告。

在执行步骤上，研究人员演示的步骤是，先将目标应用以 .tar 格式归档，再删除原始应用，随后解压归档文件。解压后的应用仍可正常启动，且不会触发 macOS 的 Gatekeeper 检查。

由于权限弹窗仍是 macOS 原生对话框，且来自用户已信任的应用，用户更可能输入密码。研究人员称，恶意代码在获得权限后，还可恢复原始代码，从而在执行后隐藏篡改痕迹。

参考

Silent Replacement of Trusted macOS App Executables