Active OS X 10.10 のゼロデイ エクスプロイトにより、システム パスワードを必要とせずにマルウェアがインストールされる

研究者らが Apple の最新バージョン OS X 10.10.4 に新たな権限昇格のゼロデイ脆弱性を発見してから 1 週間後、極悪ハッカーがシステム パスワードを必要とせずにターゲットの Mac にアドウェアやマルウェアをインストールできるエクスプロイトが出現しました。

発見者マルウェアバイト、マルウェアインストーラー利用する新しいエラーログ機能の紹介されたOS X の最新バージョンでは、アルス テクニカ。具体的には、インストーラーは Mac の sudoers 構成ファイルを変更することでルート レベルの権限を取得し、VSearch、Genieo パッケージ バリエーション、MacKeeper などのアドウェアをインストールできるようにします。

からマルウェアバイト:

ここに示すコード スニペットからわかるように、DYLD_PRINT_TO_FILE 脆弱性を悪用するスクリプトはファイルに書き込まれ、実行されます。スクリプトの一部には、終了時のスクリプト自体の削除が含まれます。

ただし、スクリプトの本質には、sudoers ファイルの変更が含まれます。スクリプトによって加えられた変更により、通常はパスワードを入力する必要がなく、sudo を使用してシェル コマンドを root として実行できるようになります。

次に、スクリプトは sudo の新しいパスワード不要の動作を使用して VSInstaller アプリを起動します。VSInstaller アプリはインストーラーのディスク イメージ上の隠しディレクトリにあり、完全な root 権限が与えられるため、どこにでもインストールできるようになります。 (このアプリは VSearch アドウェアのインストールを担当します。)

アルス テクニカ研究者のステファン・エッサーによって発見されたバグについて最初に報告された先週、開発者が標準セキュリティプロトコルOS Xダイナミックリンカーdyldの使用に失敗したと述べています。 Esser氏によると、この脆弱性はAppleの現行OS X 10.10.4とOS X 10.10.5の最近のベータ版には存在するが、OS X 10.11の初期ビルドには存在しないという。

このエクスプロイトのニュースは、Mac と PC の両方のハードウェアに影響を与える概念実証のファームウェア ワームを研究者が公開した後に発表されました。呼ばれたサンダーストライク 2この攻撃は、イーサネット アダプタや SSD などの周辺機器のオプション ROM をターゲットにしており、感染したデバイスを Mac に接続するだけで拡散します。