OS X: Sicherheitstools lassen sich einfach aushebeln

Forscher konnten Gatekeeper durch das nachträgliche Herunterladen von Schadcode umgehen. Durch die Veränderung des Hash-Werts einer bekannten Malware, erkennt XProtect diese nicht mehr. Zudem weist OS X mehrere Kernel-Lücken auf.

Apples Sicherheitstools in OS X lassen sich einfach austricksen. Das hat der Sicherheitsforscher Patrick Wardle, Director of Research bei Synack, auf der RSA-Konferenz in San Francisco demonstriert (PDF). “Für einen Angreifer ist das Umgehen der Sicherheits-Tools eines Macs etwas alltägliches”, sagte Wardle einem Bericht von ThreatPost zufolge. “Wenn Macs absolut sicher wären, würde ich nicht diesen Vortrag halten.”

Die Betroffenen Anwendungen sind Gatekeeper und XProtect. Letzteres ist der signaturenbasierte Malwareschutz, der seit OS X 10.6 Snow Leopard zum Einsatz kommt. Apps und Plug-ins die als Schadsoftware bekannt sind, blockiert der Dienst.

2012 hatte Apple mit OS X 10.8 Mountain Lion das Programm Gatekeeper eingeführt. Es dient als “Torwächter” und soll verhindern, dass Nutzer “unwissentlich bösartige Software herunterladen und installieren”. Allerdings prüft das Tool Wardle zufolge eine App nicht durchgehend. “Wenn ich also eine von Apple genehmigte App nehme und sie dazu bringe, externe Inhalte zu laden, wenn sie vom Nutzer ausgeführt wird, dann umgeht sie Gatekeeper”, erklärte Wardle.

**Apples Virenscanner XProtect lässt sich durch einfaches Rekompilieren oder Umbennnen einer Malware austricksen (Bild: Patrick Wardle/Synack).**

Durch ein erneutes Kompilieren einer Malware, wodurch sich deren Hash-Wert ändere, lasse sich XProtect überwinden. Sogar ein einfaches Umbenennen reiche aus, so Wardle weiter. Zwar sei die Sandbox-Funktion des Tools “effektiv”, aber sie lasse sich durch mehrere bekannte Kernel-Fehler umgehen.

Selbst gängige Antiviren-Lösungen für den Mac können Wardle zufolge Schadsoftware nicht effektiv abwehren. Ein von ihm entwickelte Demo-Malware, die kontinuierlich Daten an einen bestimmten Server sendet, wurde von keinem der mehr als zehn getesteten Sicherheitslösungen erkannt.

Der Sicherheitsspezialist empfiehlt Mac-Nutzern den Einsatz der von ihm entwickelten, kostenlosen Tools KnockKnock und BlockBlock. Ersteres sendet zur Überprüfung die Hashwerte aller automatisch gestarteten Programme an VirusTotal. Der Hintergrunddienst BlockBlock überwacht die von bekannter Malware genutzten Stellen im System und alarmiert den Nutzer, sobald diese von einer Software genutzt werden.

Malware für Apples Desktop-Betriebssystem ist zwar sehr selten, Hacker nehmen aber immer wieder auch OS-X-Nutzer ins Visier. Ende vergangenen Jahres wurde beispielsweise eine WireLurker genannte Schadsoftware über einen chinesischen App Store verbreitet. Sie wurde benutzt, um iOS-Geräte zu infizieren, was laut Untersuchungen von Palo Alto Networks auch mit nicht-gejailbreakten iPhones möglich war. Da dies zuvor nur mit entsperrten Geräten möglich war, sprach das Unternehmen sogar von einer “neuen Ära von iOS-Malware“.