Neue macOS-Sicherheitslücke könnte Schutzwerkzeuge deaktivieren lassen

Die Sicherheitsfirma XM Cyber hat eine Technik unter macOS untersucht, mit der sich bestimmte Enterprise-Sicherheitswerkzeuge aus einem normalen Benutzerkonto heraus deaktivieren lassen – ohne Administratorrechte.

Die Forschenden wollen ihre Ergebnisse im August auf der Sicherheitskonferenz Black Hat Arsenal vorstellen und dort ein Open-Source-Tool namens XPC Hunter demonstrieren. XM Cyber meldet erfolgreiche Angriffe auf CrowdStrike Falcon und Kandji unter macOS.

Angriff erfordert Zugriff auf bestehendes Benutzerkonto

Bei der beschriebenen Technik handelt es sich nicht um einen entfernten Angriff. Angreifende müssen laut XM Cyber zunächst Zugriff auf ein Standard-Benutzerkonto auf dem Ziel-Mac erlangen. Dieser Bedarf an einem bereits vorhandenen Zugang begrenzt zwar die Reichweite, schmälert nach Ansicht der Forschenden aber nicht die Relevanz: Wer einmal Zugriff auf ein System erlangt hat, versucht häufig zunächst, Überwachungs- und Schutzwerkzeuge zu deaktivieren, bevor weitere Schritte im System oder Netzwerk folgen.

XM Cyber gelang es, den Sicherheits-Sensor CrowdStrike Falcon aus einem Standardkonto zu entladen, indem eine privilegierte XPC-Methode missbraucht wurde. Außerdem deaktivierten die Forschenden Kandjis Schutz vor der Deinstallation sowie bestimmte Endpoint-Protection-Funktionen über eine separate Kette privilegierter XPC-Aufrufe.

Für keine der gezeigten Demonstrationen waren laut Bericht ein Kernel-Exploit oder ein Umgehen von System Integrity Protection erforderlich. Kandji hat die gemeldete Schwachstelle inzwischen behoben und ihr die Kennung CVE-2026-39118 in der öffentlichen Datenbank bekannter Schwachstellen zugewiesen. XM Cyber informierte betroffene Anbieter vor der Veröffentlichung. Apple hat bislang keinen eigenen Sicherheitshinweis zu der Forschung veröffentlicht und die Ergebnisse von XM Cyber nicht unabhängig bestätigt.

Angriffsziel: Vertrauensbeziehungen in macOS-XPC-Kommunikation

Im Mittelpunkt der Forschung steht XPC, Apples Framework für die Kommunikation zwischen Anwendungen und Hintergrunddiensten. Entwickelnde nutzen XPC häufig, damit Apps administrative Aktionen anfordern können, während privilegierte Funktionen von der eigentlichen Benutzeroberfläche getrennt bleiben.

Nach Einschätzung von XM Cyber verlassen sich einige Entwickelnde zu stark auf das Vertrauen in signierten Code, wenn sie entscheiden, welche Software sensible XPC-Methoden aufrufen darf. Die beschriebene Technik zielt darauf, wie bestimmte Anwendungen Anfragen an privilegierte Dienste überprüfen.

Der Angriff beginnt, wenn eine legitime, signierte Anwendung gestartet wird und macOS ihren Vertrauens-Fingerprint im System-Cache speichert. XM Cyber zufolge können Angreifende anschließend Teile des App-Bundles mit einer bösartigen Nutzlast verändern, ohne dass diese Vertrauensbeziehung verloren geht.

Die zwischengespeicherte Vertrauensbeziehung soll es einem Standardkonto erlauben, privilegierte XPC-Methoden aufzurufen, die eigentlich nur vertrauenswürdigen Komponenten vorbehalten sind. XM Cyber argumentiert, dass das Problem aus der Art entsteht, wie einige Anwendungen Vertrauen aufbauen, nicht aus einem direkten Umgehen der macOS-Sicherheitsmechanismen.

Die Forschenden gehen außerdem davon aus, dass das Problem über die zwei konkret demonstrierten Produkte hinausreicht. Sollten sich diese Einschätzungen bestätigen, müssten Mac-Entwickelnde Anfragen an privilegierte Dienste stärker absichern, statt sich überwiegend auf Code-Signing-Prüfungen zu verlassen.

Relevanz für Unternehmen und mögliche Gegenmaßnahmen

Produkte wie CrowdStrike Falcon und Kandji helfen Organisationen dabei, Geräte zu überwachen, Sicherheitsrichtlinien durchzusetzen und auf Bedrohungen in großen Mac-Flotten zu reagieren. Der Bericht erscheint in einer Phase, in der Macs in Unternehmensumgebungen an Bedeutung gewinnen. Sicherheitssoftware und Management-Agenten bilden dort oft die Barriere zwischen einem kompromittierten Benutzerkonto und weitergehenden Zugriffen auf Unternehmensdaten.

Besonders relevant ist, dass die beschriebene Technik ohne Administratorrechte auskommt. Viele Schutzkonzepte in Unternehmen gehen davon aus, dass Standardnutzende Sicherheitswerkzeuge wie Endpoint-Protection oder Geräteverwaltungsrichtlinien nicht direkt umgehen oder deaktivieren können. Die von Kandji vergebene CVE-Kennung verleiht der Forschung zusätzliches Gewicht, da zumindest ein Anbieter eine konkrete, über die Technik identifizierte Schwachstelle bestätigt und behoben hat. Andere Anbieter untersuchen die Ergebnisse noch; Apple hat bisher keinen eigenen Hinweis veröffentlicht.

XM Cyber will XPC Hunter am 5. August auf der Black Hat Arsenal in Las Vegas veröffentlichen und die macOS-XPC-Technik dort im Detail erläutern. Bis dahin gilt: Angreifende benötigen laut der Forschung zunächst Zugang zu einem bestehenden Benutzerkonto. Starke Passwörter und Multi-Faktor-Authentifizierung können das Risiko eines ersten Zugriffs verringern. Ihr solltet außerdem Sicherheitssoftware, Geräteverwaltungswerkzeuge und macOS selbst aktuell halten und als Organisation die Hinweise der jeweiligen Anbieter zu zusätzlichen Schutzmaßnahmen und Updates prüfen. Die Arbeit von XM Cyber unterstreicht, dass privilegierte Kommunikationskanäle und vertrauenswürdige App-Beziehungen als mögliche Angriffsfläche betrachtet werden sollten.

Hinweis: Dieser Beitrag ist eine automatisch erstellte Zusammenfassung mithilfe von Künstlicher Intelligenz. Eine redaktionelle Prüfung fand nicht statt.

Via: appleinsider.com

Den Beitrag in unserem Forum kommentieren