macOS 13 Ventura: Neue Malware-Erkennung lässt sich erschreckend einfach austricksen

Hallo und herzlich willkommen zu einem neuen Beitrag auf meinem Blog,

Seit dem Wechsel auf Apple Silicon ist der Mac deutlich beliebter geworden und kommt immer öfter auch in Unternehmen zum Einsatz. Dementsprechend attraktiver ist auch macOS fü Angreifer geworden. Apple ist sich dessen bewusst und baut die Sicherheitsfunktionen weiter aus. Doch die scheinen nicht besonders effektiv zu sein.

“Background Task Manager” lässt sich zu einfach umgehen

Der Gatekeeper ist hinreichend bekannt, mit macOS 13 Ventura führte Apple zudem den sogenannten Background Task Manager ein. Damit soll die Einnistung von Schadecode überwacht werden, auch Persistenz genannt. Dieser kann so konzipiert sein, dass er sich nur flüchtig auf dem Rechner aufhält oder aber längerfristig auf dem Zielgerät verbleiben möchte. Im ersten Fall kann ein Neustart bereits genügen, um die Spuren zu verwischen. Apples Ansatz ist demnach zu kontrollieren, welche Software sich auf dem System breit machen möchte. Geschieht dies aus heiterem Himmel, so könnte dies bereits ein Warnhinweis sein. Der BTM sendet in diesem Fall eine Benachrichtigung an den Nutzer wie auch auf dem System installierte Drittanbieter-Sicherheitstools. Ist man gerade imstande eine neue, sichere Anwendung zu installieren, kann die Meldung ignoriert werden. In jedem anderen Fall könnte es sich um eine Kompromittierung handeln.

Laut dem Sicherheitsforscher Patrick Wardle funktioniert dies aber nur unzureichend, wie er im Vergleich mit seiner eigenen Lösung BlockBlock feststellte. Zunächst stellte er fest, dass einige Probleme zu fehlgeschlagenen Meldungen führten. Apple lenkte hierauf ein und behob die Probleme. Doch die Lösungen waren oberflächlicher Natur, woraufhin Wardle auf ein längeres Intermezzo mit Apple hinsteuerte. Laut Wardle wollte man sich in Cupertino nicht darüber im Klaren werden, dass die neue Sicherheitslösung noch einiger Überarbeitung bedarf. Apple weigerte sich und Wardle stellte das Unternehmen auf einer Hacker-Konferenz in Las Vegas bloß.

Malware muss nicht ausgeklügelt sein

Sein Angriff erforderte zwar Root-Zugriff, doch es gint noch zwei andere Sicherheitslücken – die offen und kritisch sind und sich zudem ohne die Root-Zugriffe attackieren lassen. . Eine Lücke stütze sich auf die Art und Weise, wie der BTM mit dem Kernel kommuniziert, die andere hingegen nutzt eine Schwachstelle, mit dessen Hilfe ohne weitreichende Systemprivilegien Prozesse in den Ruhezustand versetzen werden können. Der Sicherheitsforscher veröffentlichte die Fehler, ohne Apple zuvor darauf hinzuweisen, da das Unternehmen sich ihm gegenüber bereits im Vorfeld geweigert hatte, die Gesamtqualität zu verbessern.

Apple lässt macOS generell schleifen

Isoliert betrachtet, verwundert das Verhalten etwas. Im Kontext, wie Apple aktuell generell macOS handelt, lässt sich ein gewisser roter Faden erkennen. So schleift der Konzern den lästigen Fehler mit den verschobenen Fenstern nach dem Beenden des Ruhezustandes seit macOS 12.1 Monterey mit. Hinzu kommen Fehler beim Drag & Drop in Apple Mail, auch die Sprachausgabe bei der Bedienungshilfe, für Menschen mit eingeschränktem Sehvermögen essenziell, wurde nicht behoben. Da passt der oben beschriebene Fehler, wenngleich andere Thematik, irgendwie ins Bild.

Was sagt Ihr dazu? Wie zufrieden seid Ihr aktuell mit macOS? Schreibt mir Euer Feedback in die nachfolgenden Kommentare

Macht´s gut und bis zum nächsten Mal hier auf dem appletechnikblog, Euer Patrick a.k.a. Meister des Apfels