9to5Mac Security Bite es presentado exclusivamente por Mosyle, la única Plataforma Unificada de Apple. Todo lo que hacemos es hacer que los dispositivos Apple estén listos para trabajar y sean seguros para la empresa. Nuestro exclusivo enfoque integrado de administración y seguridad combina soluciones de seguridad de última concepción específicas de Apple para endurecimiento y cumplimiento totalmente automatizados, EDR de próxima concepción, confianza cero impulsada por IA y administración de privilegios monopolio con el MDM de Apple más potente y original del mercado. El resultado es una Plataforma Unificada Apple totalmente automatizada, en la que actualmente confían más de 45.000 organizaciones para que millones de dispositivos Apple estén listos para funcionar sin esfuerzo y a un costo asequible. Solicita tu PRUEBA EXTENDIDA hoy y comprende por qué Mosyle es todo lo que necesitas para trabajar con Apple.

La semana pasada, Jamf Threat Labs publicó una investigación sobre otra modificación de la cada vez más popular clan MacSync Stealer, llamando la atención sobre un problema creciente en la seguridad de macOS: el malware que se esconde en las protecciones de aplicaciones de terceros más importantes de Apple. Esta nueva modificación se distribuyó adentro de una aplicación maliciosa que estaba firmada con un código con una identificación de desarrollador válida y certificada en presencia de actuario por Apple, lo que significa que Gatekeeper no tenía motivos para incomunicar su divulgación.

Históricamente, el maniquí de Apple ha funcionado suficiente aceptablemente. Las aplicaciones distribuidas fuera de la Mac App Store deben estar firmadas criptográficamente y certificadas en presencia de actuario para poder sincerarse sin que los usuarios pasen por muchos obstáculos. Pero ese maniquí de confianza supone que la firma demuestra buenas intenciones. Lo que estamos viendo ahora es que los atacantes obtienen certificados de desarrollador reales y envían malware que parece indistinguible del software probado en el momento de la instalación.

Luego de balbucir con varias personas familiarizadas con el asunto, hay algunas formas en que los actores de amenazas pueden lograrlo. En muchos casos, utilizan una combinación de lo subsiguiente:

Las aplicaciones maliciosas firmadas y certificadas en presencia de actuario podrían estar funcionando con certificados de ID de desarrollador comprometidos o incluso comprados a través de canales clandestinos, lo que reduce significativamente las sospechas. Como vimos en el referencia de Jamf sobre un nueva modificación MacSync Stealerel binario original es a menudo un ejecutable relativamente simple basado en Swift que parece afectuoso durante el observación petrificado de Apple y hace poco por sí solo.

El serio comportamiento solapado ocurre más tarde, cuando la aplicación llega a una infraestructura remota para recuperar cargas aperos adicionales. Si esas cargas aperos no están disponibles durante la certificación oficial y sólo se activan en condiciones de ejecución del mundo auténtico, los escáneres de Apple no tienen nadie solapado que analizar. El proceso de certificación oficial evalúa lo que existe en el momento del emisión, no lo que una aplicación puede recuperar posteriormente del divulgación, y los atacantes claramente están diseñando aproximadamente de ese techo.

La primera instancia de malware certificado por Apple se remonta al menos a 2020 y fue descubierta por un Sucesor de Twitter. A principios de julio, hubo otro caso de una aplicación maliciosa similar que fue firmada y certificada en presencia de actuario por Apple. Ahora aceptablemente, ¿ha llegado esto al punto de agitación? Probablemente no. Por un banda, estoy de acuerdo en que incluso un solo caso de que esto suceda es demasiado.

Por otro banda, creo que es demasiado dócil echarle la falta a Apple. El sistema funciona en gran medida según lo diseñado. La firma de código y la certificación oficial nunca tuvieron como objetivo asegurar que el software sea afectuoso para siempre, solo que se pueda rastrear hasta un desarrollador auténtico y revocarlo cuando se descubra un extralimitación.

Este es un vector de ataque intrigante y continuaré rastreandolo hasta 2026.

Al fin y al final, la mejor defensa contra el malware es descargar software directamente de desarrolladores de confianza o de la Mac App Store.

Security Bite es la inmersión profunda semanal de 9to5Mac en el mundo de la seguridad de Apple. Cada semana, Arin Waichulis analiza nuevas amenazas, preocupaciones sobre la privacidad, vulnerabilidades y más, dando forma a un ecosistema de más de 2 mil millones de dispositivos.

Folvídate de: Gorjeo/X, LinkedIn, Trapos