- O TCC é uma tecnologia de segurança que permite aos usuários da Apple controlar as configurações de privacidade dos aplicativos instalados em seus sistemas e dispositivos conectados aos seus dispositivos.
- Os usuários da Apple com o novo TCC permitirão acesso total ao disco a aplicativos com recursos de configuração para impedir automaticamente a execução de códigos não autorizados.
- Finalmente, a Apple conseguiu corrigir a vulnerabilidade nas atualizações de segurança lançadas no final do ano passado, em dezembro.
A Microsoft alerta que a vulnerabilidade do macOS pode ser usada para contornar a tecnologia Transparência, Consentimento e Controle (TCC) da empresa.
A equipe de pesquisa do Microsoft 365 Defender relatou uma vulnerabilidade no modelo T5 do MacBook Pro da Apple para a Apple por meio da Microsoft Security Vulnerability Research (MSVR) em 15 de julho de 2021.
TCC é uma tecnologia de segurança projetada para permitir que os usuários da Apple controlem as configurações de privacidade do aplicativos instalados em seus sistemas e dispositivos conectados a seus Macs, incluindo câmeras e microfones.
A Apple garantiu aos usuários que seu novo TCC só permitirá acesso total ao disco a aplicativos com recursos de configuração para bloquear automaticamente a execução de código não autorizado.
Lacunas
Pesquisadores da Microsoft descobriram que os cibercriminosos podem induzir um usuário a clicar em um link malicioso para obter acesso a informações pessoais armazenadas em um banco de dados TCC.
“Descobrimos que é possível alterar programaticamente o diretório inicial de um usuário de destino e plantar um TCC falso banco de dados, que armazena o histórico de consentimento de solicitações de aplicativos”, de acordo com um pesquisador de segurança principal da Microsoft, Jonathan Barra.
“Se explorada em sistemas não corrigidos, essa vulnerabilidade pode permitir que um agente mal-intencionado orquestre potencialmente um ataque com base nos dados pessoais protegidos do usuário.
“Por exemplo, o invasor pode sequestrar um aplicativo instalado no dispositivo ou instalar seu próprio aplicativo malicioso e acessar o microfone para gravar conversas privadas ou capturar capturas de tela de informações confidenciais exibidas no tela."
Desvios de TCC relatados
A Apple também corrigiu outros desvios de TCC relatados desde 2020, incluindo:
- Envenenamento de variável de ambiente
- Suportes da máquina do tempo
- Problema de conclusão do pacote
Além disso, a Apple corrigiu a vulnerabilidade nas atualizações de segurança lançadas no mês passado, em 13 de dezembro de 2021. “Um aplicativo malicioso pode ignorar as preferências de privacidade” de acordo com o aviso de segurança.
A Apple lidou com a falha lógica por trás do bug de falha de segurança powerdir desenvolvendo um melhor gerenciamento de estado.
“Durante esta pesquisa, tivemos que atualizar nossa exploração de prova de conceito (POC) porque a versão inicial não funcionava mais na versão mais recente do macOS, Monterey”, indicou Jonathan.
“Isso mostra que, mesmo que o macOS ou outros sistemas operacionais e aplicativos se tornem mais resistentes a cada lançamento, fornecedores de software como Apple, segurança pesquisadores e a comunidade de segurança em geral precisam trabalhar continuamente juntos para identificar e corrigir vulnerabilidades antes que os invasores possam aproveitar eles."
Sem raízes
A Microsoft divulgou hoje uma falha de segurança, codinome Sem raízes, que permitiria a um invasor contornar a Proteção de Integridade do Sistema (SIP) e realizar operações arbitrárias, elevar privilégios para root e instalar rootkits em dispositivos vulneráveis.
Os pesquisadores da empresa também descobriram novas variantes do malware macOS conhecido como UpdateAgent ou Vigram, atualizado com novas táticas de evasão e persistência.
No ano passado, em junho, um pesquisador de segurança (Redmond) da Tactical Network Solutions revelou falhas críticas em vários modelos de roteadores NETGEAR. Os hackers podem usar as falhas para violar e mover-se lateralmente nas redes corporativas.
Você já enfrentou algum desses contratempos? Compartilhe seus pensamentos conosco na seção de comentários abaixo.
