🍏Скрытая подмена исполняемых файлов доверенных приложений в macOS — 24 июля 2026 г. в 05:40:16.005
🍏Скрытая подмена исполняемых файлов доверенных приложений в macOS Как сообщают Mysk, ИБ-исследователи Талал Хадж Бакри и Томми Мыск выявили уязвимость в macOS (включая новейшие сборки Tahoe и Golden Gate), которая позволяет осуществлять скрытую подмену главного исполняемого файла программ, загруженных из интернета, без необходимости повышения привилегий. Защитные механизмы операционной системы обходятся тривиальными манипуляциями со структурой пакета приложения: архивирование директории легитимного ПО, загруженного вне Mac App Store, с помощью консольной утилиты tar, удаление оригинала и последующая распаковка полностью снимают системные блокировки на модификацию. Поскольку графические ресурсы программы и их криптографические хеши в служебном файле _CodeSignature/CodeResources остаются неизменными, встроенная подсистема Gatekeeper не фиксирует аномалий при повторных запусках и допускает выполнение модифицированного кода, ошибочно идентифицируя его как исходное доверенное программное обеспечение. Угроза данного метода пост-эксплуатации (post-exploitation) кроется в разрушении парадигмы доверенного пользовательского интерфейса (Trusted UI) через визуальную мимикрию (UI spoofing). При запросах вредоносного кода к подсистеме контроля доступа TCC (Transparency, Consent, and Control) или криптографическому хранилищу Keychain, macOS самостоятельно генерирует аутентичные диалоговые окна авторизации, автоматически интегрируя название и иконку скомпрометированного приложения (на примере мессенджера Signal в предоставленном Proof-of-Concept). 👆Apple обосновала свою позицию тем, что прямого технического пробития изоляции TCC не происходит, а механизм полагается на социальную инженерию при условии обязательного предварительного выполнения несанкционированного кода в системе. Исследователи, напротив, предлагают внедрить принудительную ревалидацию цифровой подписи при любых структурных изменениях исполняемого пакета. https://mysk.blog/2026/07/23/macos-overwrite-app-executables/ ✋ @Russian_OSINT