Votre ordinateur Mac qui fonctionne avec le dernier système d’exploitation High Sierra d’Apple peut être aisément hacké en modifiant simplement deux lignes de code, comme l’a démontré un chercheur durant la conférence de sécurité Def Con ce dimanche.

Patrick Wardle, ancien hacker de la NSA et aujourd’hui fondateur de Digita Security, a dévoilé une vulnérabilité critique à zéro jour dans le système d’exploitation macOS qui peut permettre à une application malveillante installée dans le système ciblé de virtuellement « cliquer » sur des objets sans consentement ou action de l’utilisateur.

Pour comprendre à quel point cela peut être dangereux, Wardle explique : « Avec un simple clic, des mécanismes de sécurité illimités peuvent être outrepassés. Faire fonctionner une application douteuse ? Un clic… et la voilà autorisée. Autoriser un accès à la keychain ? Un clic et c’est autorisé. Charger une extension de kernel tierce ? Un clic et c’est autorisé. Autoriser une connexion réseau sortante ? Un clic et c’est autorisé. » 

Wardle a décrit ses recherches en utilisant des interactions « synthetic » avec l’interface utilisateur comme « La souris est plus tranchante que l’épée », démontrant qu’une attaque est capable de générer des « synthetic clicks »- des clics de souris programmés et invisibles, générés par un programme logiciel plutôt qu’un humain.

Le code de macOS lui-même propose d’utiliser des clics automatisés comme fonctionnalité d’accès pour les personnes handicapées pour interagir avec l’interface système de manière non-conventionnelle, mais Apple a placé certaines limitations pour empêcher les malwares d’abuser des clics programmés.

 Wardle a découvert accidentellement que High Sierra interprétait mal deux clics programmés consécutifs comme étant un clic légitime, autorisant aussi les attaquants à interagir de manière programmée avec les alertes de sécurité lorsqu’elles demandent à l’utilisateur de choisir entre « autoriser » et « refuser » pour l’accès à des fonctionnalités et des données sensibles.

« L’interface utilisateur repose sur cette simple faille » s’est exprimé Wardle. « Si vous trouvez le moyen d’interagir de manière programmée avec ces alertes, vous avez une possibilité puissante et générique de passer outre tous ces mécanismes de sécurité. » Bien que Wardle n’ait pas encore publié les détails techniques de la faille, il a déclaré que la vulnérabilité pouvait potentiellement être utilisée pour réduire les mots de passe à néant, de la keychain au chargement d’extensions de kernel malveillantes en cliquant virtuellement sur « autoriser » dans la commande de sécurité et obtenir un contrôle complet de l’appareil visé.

Wardle déclare avoir trouvé cette faille accidentellement en copiant et collant le code et que seules deux lignes de code étaient suffisantes pour complètement briser le mécanisme de sécurité.

A l’inverse de découvertes précédentes, Wardle n’a pas fait de rapport à Apple à propos de ses dernières recherches et à choisir de révéler publiquement les détails du bug à zéro jour durant la conférence des hackers du DefCon.

« Bien sûr, les vendeurs d’OS tels qu’Apple sont pleinement conscients de ce vecteur d’attaque, et s’efforcent de concevoir leur interface utilisateur de telle sorte qu’elle résistent à ces détournements de programmation. Malheureusement, c’est un échec. » a déclaré Wardle.

Néanmoins, la prochaine version du macOS d’Apple, Mojave, a déjà atténué la menace en bloquant tous les évènements programmés, ce qui devrait réduire la portée des fonctionnalités d’accessibilités sur les applications qui utilisent légitimement cette fonctionnalité.