ラスベガスで開催されたブラックハットカンファレンスで、セキュリティ研究者らが、新品のMacが初めてWi-Fiに接続した瞬間にMacを制御する方法を実演した。

Mac のモバイル デバイス管理の処理方法に脆弱性があり、所有者が初めてデスクトップを見る前に、マシンに無制限のマルウェアをインストールできる可能性があります...

このハッキングは決して容易ではありません。企業が購入したMDMツールを使って企業向けアプリをインストールしている端末に対し、中間者攻撃を仕掛ける必要があります。これは一般のハッカーが利用できる攻撃ではありませんが、ならず者国家が利用する可能性のある攻撃です。

Wired がその仕組みを説明した。

Macの電源を入れて初めてWi-Fiに接続すると、Appleのサーバーにチェックインし、基本的に「このシリアル番号のMacBookです。誰かの所有物ですか？どうすればいいですか？」と尋ねます。

シリアル番号がDEPとMDMの一部として登録されている場合、最初のチェックによって事前に定められたセットアップシーケンスが自動的に開始され、AppleのサーバーとMDMベンダーのサーバーによる一連の追加チェックが行われます。企業は通常、Appleのエンタープライズエコシステムを利用するためにサードパーティのMDMファシリテーターを利用しています。各ステップで、システムは「証明書ピンニング」と呼ばれる、特定のWebサーバーが本当にそのサーバーであることを確認する手法を使用します。しかし、研究者たちはあるステップで問題を発見しました。MDMがエンタープライズソフトウェアのダウンロードをMac App Storeに引き渡す際、シーケンスはダウンロードする内容とインストール場所を示すマニフェストを取得しますが、マニフェストの真正性を確認するためのピンニングは行われません。

ハッカーが MDM ベンダーの Web サーバーと被害者のデバイスの間のどこかに潜んでいる場合、ダウンロード マニフェストを悪意のあるマニフェストに置き換えて、コンピューターにマルウェアをインストールするように指示する可能性があります。

このマルウェアには、キーロガーやスクリーングラバーなどだけでなく、企業ネットワーク全体の脆弱性を探すツールも含まれている可能性があります。

この問題は、Mac管理会社Fleetsmithの最高セキュリティ責任者Jesse Endahl氏とDropboxのスタッフエンジニアMax Bélanger氏によって特定されました。

「この件の恐ろしい点の一つは、企業レベルでこれを設定できれば、中間者攻撃の実施場所によっては全員に感染する可能性があることです」とベランジェ氏は語る。「これはすべてデバイスのセットアップのごく初期段階で行われるため、セットアップコンポーネントが実行できることに実質的な制限はありません。これらのコンポーネントは完全な権限を持っているため、非常に特殊な方法で侵害されるリスクがあります。」[…]

「この攻撃は非常に強力なので、おそらく一部の政府はそれを実行することに意欲的になるだろう」とエンダール氏は言う。

責任ある研究者としていつものことだが、2人はAppleに脆弱性を報告し、手法を公開する前に修正のための時間を与えた。この修正は先月のmacOS 10.13.6で展開されたため、現在脆弱性が残っているのは古いバージョンがインストールされているマシンのみとなっている。

Apple のニュースをもっと知りたい場合は、YouTube の 9to5Mac をご覧ください。

havebin.com を Google ニュース フィードに追加します。 

FTC: 収益を生み出す自動アフィリエイトリンクを使用しています。詳細はこちら。