Una firma de adware se aprovecha de la vulnerabilidad Gatekeeper sin parches de Mojave

Una vulnerabilidad sin parches, descubierta en macOS Mojave el mes pasado, permite a los atacantes eludir por completo la función de seguridad Gatekeeper. Desafortunadamente, ahora ha sido explotado por una compañía de adware en lo que se llama una prueba en preparación de nuevo malware para Mac.

A modo de contexto, el investigador  Filippo Cavallarin descubrió recientemente  (e informó a Apple) un descuido de seguridad en el sistema operativo macOS Mojave que permitiría que una aplicación no autorizada eluda las protecciones de Gatekeeper. La vulnerabilidad aprovecha el hecho de que Gatekeeper considera las unidades externas y los recursos compartidos de red como ubicaciones seguras, lo que permite lanzar malware desde estas ubicaciones sin la intervención de Gatekeeper.

Los investigadores de seguridad de Intego ahora  nos señalan cuatro imágenes de disco, disfrazadas como instaladores de Adobe Flash Player, que fueron cargadas por una empresa de adware a VirusTotal . Los investigadores de Intego afirman que se trata de una prueba en preparación para la distribución de un nuevo malware para Mac, llamado OSX/Linker, que intenta aprovechar la falla de día cero antes mencionada en la protección Gatekeeper de macOS.

Las cuatro muestras, cargadas el 6 de junio pocas horas después de la creación de cada imagen de disco, se vinculan a una aplicación ahora eliminada en un servidor NFS accesible por Internet.

Intego señala que Install.app vinculado dinámicamente parecía ser un marcador de posición que no hacía mucho más que crear un archivo de texto temporal, pero que podía cambiar fácilmente en el lado del servidor en cualquier momento sin necesidad de modificar la imagen del disco.

Intego dice que, por lo tanto, es posible que las mismas imágenes de disco cargadas o recién cargadas se hayan utilizado más tarde para distribuir una aplicación que en realidad ejecutó código malicioso en la Mac de la víctima.

Uno de los archivos se firmó con una ID de desarrollador de Apple, lo que sugiere que la prueba fue creada por los desarrolladores del adware OSX/Surfbuyer. El jurado aún no sabe si estas imágenes de disco, o las posteriores, pueden haber sido utilizadas en ataques dirigidos o de pequeña escala.