تتيح ثغرة أمنية مكتشفة حديثاً في نظام macOS للمهاجمين استبدال التطبيقات الموثوقة ببرمجيات خبيثة بصمت دون إثارة أي تحذيرات أمنية من النظام. تستهدف هذه الثغرة، التي اكتشفها الباحثان الأمنيان طلال حاج بكري وتومي ميسك، التطبيقات المُحملة من خارج متجر التطبيقات الرسمي، حيث تتلاعب بعملية الأرشفة لتجاوز فحوصات التوثيق الخاصة بشركة Apple. وتُبرز هذه الثغرة نقطة عمياء حرجة في كيفية تعامل نظام التشغيل مع البرمجيات المعتمدة مسبقاً.
يتطلب الاستغلال تسلسلاً محدداً من الأحداث لينجح. أولاً، يجب أن يكون التطبيق المستهدف قد تم تحميله من موقع المطور، وتثبيته، وتشغيله مرة واحدة على الأقل. ثانياً، يجب أن يمتلك المهاجم بالفعل وصولاً عن بُعد أو وصولاً فعلياً إلى الجهاز. وأوضح الباحثان أن "هناك ثغرة في نظام macOS تسمح للمهاجم باستبدال الملف التنفيذي الرئيسي لأي تطبيق مُحمل من الويب بصمت دون الحاجة إلى امتيازات مرتفعة". ومن خلال أرشفة التطبيق باستخدام ملف بصيغة.tar، ثم حذف النسخة الأصلية واستخراج الأرشيف مع ملف تنفيذي مُعدّل، يمكن للبرمجية الخبيثة العمل دون أي رقابة.
ونظراً لأن نظام حماية البوابة (Gatekeeper) يتحقق من حزمة التطبيق بالكامل أثناء التشغيل الأولي بدلاً من فحص كل عنصر داخلي عند استخراج الأرشيف لاحقاً، فإن النظام لا يزال يعتبر التطبيق المُعدّل شرعياً. وعندما يطلب التطبيق المخترق من المستخدم الإذن للوصول إلى الملفات والمجلدات الحساسة، يبدو مربع الحوار أصلياً تماماً. وبحسب التقارير، قللت شركة Apple من أهمية هذه النتائج، مجادلة بأن الاستغلال يعتمد بشكل كبير على الهندسة الاجتماعية (Social Engineering) ويتطلب أن يكون النظام مخترقاً مسبقاً.
كيفية حماية نظامك من تجاوز حماية Gatekeeper
- جهاز Mac يعمل بإصدارات نظام macOS الحالية.
- تطبيقات مُحملة من مواقع المطورين الخارجية.
- حمّل التطبيقات حصرياً من متجر تطبيقات Mac (Mac App Store) كلما أمكن ذلك.
يضمن هذا الإجراء تثبيت التطبيق على مستوى النظام بهيكلية أذونات أكثر صرامة، مما يجعله محصناً ضد استغلال أرشيف.tar المحدد. - قيّد الوصول الفعلي وعن بُعد إلى جهاز Mac الخاص بك عبر استخدام كلمات مرور قوية وتعطيل خدمات المشاركة غير الضرورية.
يمنع هذا الإجراء الجهات الخبيثة من الحصول على صلاحيات تنفيذ الأكواد الأولية المطلوبة لتنفيذ تقنية استبدال التطبيقات. - دقق في مطالبات الأذونات غير المتوقعة الصادرة من تطبيقات قمت بتثبيتها وتشغيلها مسبقاً.
يساعدك هذا الإجراء في اكتشاف أي تطبيق مُعدّل يحاول الحصول على امتيازات مرتفعة للوصول إلى الملفات والمجلدات الحساسة.
الخط الفاصل بين الهندسة الاجتماعية وعيوب النظام
يُبرز تجاهل شركة Apple لهذه الثغرة واعتبارها مجرد هندسة اجتماعية (Social Engineering) احتكاكاً متزايداً بين الأمان النظري وسلوك المستخدم في العالم الحقيقي. ورغم صحة أن المهاجم يحتاج إلى وصول مسبق، مما يعني أن النظام مخترق بالفعل، إلا أن الاعتماد على المستخدمين لاكتشاف مطالبة أذونات مزيفة من تطبيق يثقون به تماماً يُعد رهاناً محفوفاً بالمخاطر. فالمستخدمون معتادون على النقر فوق "السماح" عندما يطلب تطبيق مألوف الوصول، مما يجعل هذا الاستغلال فعالاً للغاية من الناحية العملية.
يُعد اقتراح الباحثين بإجبار نظام حماية البوابة (Gatekeeper) على إعادة فحص التطبيقات المستخرجة من الأرشيف كتثبيتات جديدة حلاً بسيطاً يجب على شركة Apple تنفيذه في تحديثات نظام macOS المستقبلية. وحتى ذلك الحين، يجب على المستخدمين المحترفين الذين يعتمدون بكثافة على برمجيات الويب البقاء في حالة تأهب قصوى بشأن أمان شبكتهم المحلية والوصول الفعلي لأجهزتهم. إن اختراق النظام أمر سيء بما فيه الكفاية، لكن السماح للبرمجيات الخبيثة بالتنكر كتطبيقات موثوقة يمنح المهاجمين مفاتيح التحكم الكاملة.
