京财时报

macOS被曝新漏洞:黑客可直接绕开系统安全警告

http://www.jingcsb.com/ 来源:新浪科技 发布时间:2018-08-13 12:32:21
 

 

新浪科技北京时间8月13日上午消息,一位著名Mac系统黑客刚刚开发了一种新攻击手段:可以在电脑提出是否允许程序获取数据时自动点击“允许”按钮,从而帮助黑客展开更加深入的攻击和渗透。

为了避免电脑中的秘密信息遭到黑客窃取,操作系统开发者采取了很多方式,其中之一就是引起电脑使用者的注意。当一款应用程序试图访问敏感数据或敏感功能时,系统就会让用户自己选择“允许”还是“拒绝”,这相当于安排了一个检查点,把恶意软件拒之门外,让无辜的程序得到想要的信息。

但美国国家安全局(NSA)前雇员、著名Mac黑客帕特里克·瓦尔德(Patrick Wardle)去年一直在考虑一个问题:如果某个恶意软件能够像人类一样轻而易举地点击“允许”按钮,会发生什么事情?

在上周日举行的DefCon黑客大会上,瓦尔德计划展示一组针对macOS系统的自动化攻击,可以通过所谓的“合成点击”(synthetic clicks)帮助恶意软件绕过系统封锁。这样一来,一旦找到能够入侵用户设备的方法,黑客便可绕过安全层,从而获取用户的位置,窃取其联系方式,甚至夺取操作系统最深层的内核,从而全面控制电脑。

“用户界面是唯一一个故障点。” 目前担任Digita Security安全研究员的瓦尔德说,“如果你有办法合成与这些警告信息的互动,那就掌握了一种强大而通用的方法,可以绕过所有的安全机制。”

瓦尔德的攻击方式并不会在用户的电脑里面为黑客提供立足点,只是帮助黑客的恶意软件在已经被感染的设备上渗透安全层。但瓦尔德表示,这仍然可以成为一种强大的工具,帮助技术高超的攻击者悄无声息地窃取更多数据,或者更加深入地控制他们已经通过木马程序或其他技术入侵的电脑。

这都源自macOS本身包含一项功能,可以让AppleScript等程序生成“合成点击”,也就是由程序而非人类手指生成的鼠标点击动作。这就能帮助残疾人使用的工具实现各种功能。为了避免恶意软件滥用这些程序化的点击,苹果在一些敏感情况下禁止使用该功能点击“允许”按钮。

但瓦尔德却意外发现,macOS未能阻止该功能提取用户联系人、获取日程表、阅读经纬度信息。他的恶意软件测试代码可以像人类一样轻而易举通过点击获取权限。

值得注意的是,这种“合成点击”过程仍然会被用户看见,但瓦尔德指出,恶意软件可以等到系统出现不活跃信号时再行动,从而避免被用户发现。

苹果并未对此置评。瓦尔德也承认,他并未在DefCon大会之前向苹果披露此项研究的详细信息。

【免责声明】 凡本站未注明来源为京财时报(www.jingcsb.com)的所有作品,均转载、编译或摘编自其它媒体,转载、编译或摘编的目的在于传递更多信息,并不代表本站赞同其观点和对其真实性负责。其他媒体、网站或个人转载使用时必须保留本站注明的文章来源,并自负法律责任。 如您不希望作品出现在本站,可联系我们要求撤下您的作品。联系邮箱:xinxifankuui@163.com

热文推荐

首页 | 新闻 | 财经 | 房产 | 娱乐 | 旅游 | 时尚 | 生活 | 科技 | 健康 | 汽车 | 教育 | 今日北京 | 电子报

Copyright © 2008-2016 备案号:京ICP备09109218号 网络视听许可证:1908457号 增值电信业务经营许可证:京-20080118
关于同意京财时报设立互联网站并提供新闻信息服务的批复

友情链接: 大粤日报 时尚周刊 京晨晚报 投资观察界 新讯网 西北商报网 万亿财富网 中国投资界 新尧网 中国证券期货 广东晨报