\nAplicativos do Apple macOS baixados de outras fontes além da App Store e executados pelo menos uma vez podem ser substituídos por similares maliciosos, de acordo com dois pesquisadores de segurança cibernética que questionaram a eficácia da tecnologia de proteção.\n\n“Quando um usuário baixa e abre um aplicativo, plug-in ou pacote de instalação não obtido na App Store, o Gatekeeper verifica se o software veio de um desenvolvedor verificado e é certificado pela Apple como livre de malware conhecido e se foi alterado”, diz a descrição da tecnologia no Apple site. Na prática, porém, existe uma maneira de “substituir silenciosamente o arquivo executável principal de qualquer aplicativo baixado da Internet sem a necessidade de obter privilégios elevados”, dizem os pesquisadores.\n\nO invasor precisa de meios de executar código no nível do usuário – um aplicativo malicioso ou script baixado, portanto, esta não é uma vulnerabilidade que possa ser ativada remotamente sem a participação do proprietário do computador. O problema, entretanto, é que o Gatekeeper não executa funções de controle de acesso suficientemente completas. O método não funciona com aplicativos da Mac App Store porque eles são executados como root e não podem ser substituídos por um processo com privilégios de usuário. No entanto, aplicativos de fontes de terceiros continuam em risco, incluindo Brave, Slack, Signal ou Visual Studio Code. Para realizar um ataque, um aplicativo de origem de terceiros deve ser executado pelo menos uma vez.\n\nO Gatekeeper realiza uma verificação inicial do aplicativo, projetada para evitar alterações subsequentes no pacote. Mas existe uma possibilidadecoloque um aplicativo baixado de uma fonte de terceiros e uma vez lançado no arquivo TAR, exclua o original e substitua-o por uma versão maliciosa – depois disso, o macOS não exigirá reautorização, pois o pacote é considerado criado localmente e não está sujeito a verificação, diz a posição oficial da Apple. Isso pode ser feito de diversas maneiras: por meio de ferramentas de linha de comando, por meio de uma solicitação maliciosa a um agente de inteligência artificial, por meio de um ataque à cadeia de suprimentos por meio de npm, brew ou qualquer outro armazenamento de pacotes.\n\nA tecnologia Gatekeeper deveria verificar os aplicativos quando sua assinatura muda, mas na prática isso não acontece. A Apple não explicou por que isso acontece, e os pesquisadores especularam que o valor de confiança é armazenado em cache e, se a verificação for inicializada, o “gêmeo do mal” do aplicativo legítimo passa com segurança.\n
