Investigadores de segurança descobriram uma vulnerabilidade no macOS que permite substituir silenciosamente o ficheiro executável principal de apps descarregadas da Internet, sem necessitar de privilégios de administrador. Segundo o relatório, o problema afecta várias versões recentes do sistema operativo da Apple e pode fazer com que apps consideradas fiáveis executem código malicioso sem apresentar avisos de segurança ao utilizador.
O ataque exige que o utilizador já tenha executado uma app ou script, mas, uma vez obtido esse acesso, um atacante pode substituir o executável de apps como o Signal, Slack, Visual Studio Code, Brave, Cursor ou Proton Mail. Como a app continua a apresentar o nome e o ícone originais, os pedidos de acesso ao Keychain ou a pastas protegidas do macOS parecem legítimos, aumentando a probabilidade do utilizador conceder permissões sem suspeitar.
We made a few mockups showing how we think Apple could improve macOS permission prompts to make app-tampering attacks far less effective:
— Mysk 🇨🇦🇩🇪 (@mysk_co) July 23, 2026
1) Display the developer’s signing identity in TCC permission dialogs and when an app is opened for the first time.
2) Show a clear warning… https://t.co/fiRkyrrfyT pic.twitter.com/HfJOgJWOHs
Os investigadores explicam que a vulnerabilidade não contorna directamente mecanismos como o Gatekeeper ou o Transparency, Consent, and Control (TCC). Em vez disso, explora a confiança do utilizador numa aplicação já instalada, recorrendo a pedidos de autorização autênticos do macOS para aceder a dados sensíveis. O problema afecta sobretudo aplicações instaladas fora da Mac App Store, que normalmente pertencem ao utilizador em vez de serem geridas pelo sistema.Google Chrome on macOS installs a background app called GoogleUpdater that starts automatically after a restart.
— Mysk 🇨🇦🇩🇪 (@mysk_co) July 24, 2026
With this macOS bug, its executable can be silently replaced with any code. No password. No warning. The user is completely unaware. Hers's a demo (clipboard spy) https://t.co/fiRkyrrNor pic.twitter.com/Bxp0TAxiw5
Apesar da divulgação do problema, a Apple considera que o comportamento não constitui uma vulnerabilidade que exija uma correcção de segurança. A empresa argumenta que o ataque depende da execução prévia de código malicioso e de técnicas de engenharia social para convencer o utilizador a aprovar os pedidos de acesso. Ainda assim, os investigadores defendem que o macOS deveria voltar a validar aplicações modificadas e identificar claramente a assinatura digital do executável responsável pelos pedidos de permissões, alertando os utilizadores para este tipo de ataque (como um popup como o que aparece no topo deste artigo).
Sem comentários:
Enviar um comentário (problemas a comentar?)