นักวิจัยพบช่องโหว่ Gatekeeper ของ macOS ทำให้แอปดาวน์โหลดจากเว็บถูกแทนด้วยไฟล์ประสงค์ร้าย

Lead: นักวิจัยด้านความปลอดภัยสองคนพบช่องโหว่ในระบบ Gatekeeper** ของ macOS ที่ทำให้แอปพลิเคชันที่ดาวน์โหลดจากอินเทอร์เน็ตและเปิดใช้งานครั้งแรกสามารถถูกแทนที่ด้วยไฟล์ประสงค์ร้ายโดยไม่ต้องมีสิทธิ์ระดับผู้ดูแลระบบ การค้นพบนี้เรียกร้องให้ตรวจสอบความแข็งแรงของกระบวนการตรวจสอบโค้ดของ Apple อย่างละเอียด

Overview

Apple ระบุว่า Gatekeeper จะทำการตรวจสอบแอปพลิเคชันที่มาจากภายนอก App Store โดยยืนยันว่าผู้พัฒนาถูกระบุและแอปได้รับการ notarized จาก Apple เพื่อตรวจจับเนื้อหาที่เป็นอันตราย การวิจัยของ Talal Haj Bakry และ Tommy Mysk แสดงให้เห็นว่ามีช่องว่างในขั้นตอนนี้ซึ่งทำให้ผู้โจมตีสามารถเปลี่ยนไฟล์ executable หลักของแอปที่ดาวน์โหลดได้โดยไม่ต้องยกระดับสิทธิ์

การทดสอบของทีมวิจัยใช้แอป macOS ที่ถูกดาวน์โหลดจากเว็บและเปิดใช้งานครั้งแรกเพื่อให้ Gatekeeper ทำการตรวจสอบครบถ้วน หลังจากนั้นพวกเขาใช้คำสั่ง `tar` เพื่อบีบอัดแอปไว้ในไฟล์ archive ลบไฟล์เดิมออก แล้วแทนที่ด้วยเวอร์ชันประสงค์ร้าย macOS ไม่ได้เรียกกระบวนการยืนยันความถูกต้องใหม่ ทำให้แอปที่แก้ไขแล้วยังคงทำงานได้โดยไม่มีการแจ้งเตือน

ผลลัพธ์นี้แตกต่างจากแอปใน Mac App Store อย่างชัดเจน เพราะแอปเหล่านั้นเป็นเจ้าของโดยผู้ใช้ระดับ root การเขียนทับไฟล์ด้วยสิทธิ์ของผู้ใช้ทั่วไปจึงไม่สามารถทำได้ ดังนั้นช่องโหว่นี้จำกัดอยู่กับแอปที่มาจากภายนอก App Store เท่านั้น

Technical Details

กระบวนการตรวจสอบของ Gatekeeper มีขั้นตอนหลักสองส่วน คือ การยืนยันลายเซ็นดิจิทัลของผู้พัฒนาและการตรวจสอบว่าแอปได้ผ่านการ notarization จาก Apple ซึ่งโดยทั่วไปแล้วจะทำเมื่อผู้ใช้เปิดแอปเป็นครั้งแรก ระบบจะเก็บค่า “trusted” ไว้ใน cache เพื่อเร่งความเร็วในการเปิดครั้งต่อไป

ทีมวิจัยสังเกตว่าหลังจากแอปได้รับการยืนยันและถูกบันทึกลง cache การเปลี่ยนไฟล์ executable แล้ว macOS ยังคงอ่านค่าที่เคยเก็บไว้ว่า “trusted” ทำให้กระบวนการตรวจสอบไม่ถูกรันใหม่ แม้ bundle ของแอปจะถูกแก้ไขแล้วก็ตาม พวกเขาเชื่อว่าปัญหาเกิดจาก cached trust value retention ซึ่งทำให้ระบบพิจารณาว่าแอปยังคงปลอดภัย

เพื่อยืนยันข้อสังเกต ทีมวิจัยได้บันทึกวิดีโอขั้นตอนการบรรจุ (archive) และคืนค่า (restore) แอปโดยใช้ `tar` จากนั้นแทนที่ไฟล์ executable ด้วยเวอร์ชันใหม่ที่มีโค้ดอันตราย การทำเช่นนี้ไม่ต้องขอสิทธิ์จากผู้ใช้เพิ่มเติมและไม่ได้กระตุ้นการแจ้งเตือนของระบบ

Attack Vector & Scenarios

แม้ว่าการโจมตีนี้ต้องอาศัยระดับการเข้าถึงแบบผู้ใช้ (user‑level) แต่ยังมีหลายวิธีที่แฮกเกอร์สามารถทำให้ผู้ใช้รันโค้ดได้โดยไม่รู้ตัว ตัวอย่างเช่น

• การติดตั้งเครื่องมือจาก command line ที่ผู้ใช้คัดลอกและวางคำสั่งลงใน Terminal
• ดาวน์โหลดและเปิดแอปประสงค์ร้ายซึ่งทำหน้าที่เป็น launcher เพื่อดำเนินการต่อไป
• การฉีดคำสั่งผ่าน AI agent (prompt injection) ทำให้ผู้ใช้พิมพ์โค้ดที่เป็นอันตรายโดยบังเอิญ

นอกจากนี้ยังมีความเสี่ยงจาก supply chain attack ผ่าน package manager เช่น npm หรือ Homebrew ที่อาจทำให้แอปพลิเคชันถูกดาวน์โหลดและติดตั้งในขั้นตอนเดียวกัน ทำให้ผู้โจมตีสามารถวางไฟล์ archive ของแอปที่ดัดแปลงแล้วได้โดยตรง

เมื่อเวอร์ชันประสงค์ร้ายของแอปเข้ามาแทนที่แล้ว แฮกเกอร์สามารถใช้ UI ที่คุ้นเคยเพื่อหลอกลวงผู้ใช้ให้ยอมรับการขออนุญาตต่าง ๆ เช่น การเข้าถึง Keychain หรือข้อมูลส่วนบุคคล ซึ่งเพิ่มโอกาสในการทำร้ายข้อมูลของผู้ใช้

Affected Applications

แอปพลิเคชันที่ดาวน์โหลดจากเว็บและมักถูกใช้งานบน macOS มีหลายรายการซึ่งถูกรายงานว่าเสี่ยงต่อการโจมตีแบบนี้ ตัวอย่างเช่น

• Brave (เว็บเบราว์เซอร์)
• Slack (เครื่องมือสื่อสารในองค์กร)
• Signal (แอปส่งข้อความเข้ารหัส)
• Visual Studio Code (IDE สำหรับนักพัฒนา)

รายการข้างต้นไม่ใช่ทั้งหมด แต่เป็นตัวอย่างของซอฟต์แวร์ที่ได้รับความนิยมและมักถูกติดตั้งโดยผู้ใช้ผ่านการดาวน์โหลดจากเว็บไซต์ของผู้ผลิต การที่แอปเหล่านี้สามารถถูกแทนที่ได้หมายถึงศักยภาพในการกระจายมัลแวร์หรือข้อมูลหลอกลวงไปยังผู้ใช้จำนวนมาก

Apple’s Response

ทีมวิจัยส่งรายงานผลการค้นพบให้กับ Apple ซึ่งบริษัทตอบว่าปัญหานี้ไม่ได้ถือว่าเป็น “modifying” executable ที่ลงนาม เนื่องจากกระบวนการ archive/restore ทำให้ bundle ของแอปกลายเป็น locally built แอปที่สร้างขึ้นบนเครื่องของผู้ใช้เอง ตามคำชี้แจงของ Apple แอปประเภทนี้จึงไม่อยู่ภายใต้การคุ้มครองของระบบ Guard ต่าง ๆ เช่น การตรวจสอบ Keychain หรือไดเรกทอรีที่ได้รับการป้องกันโดย TCC

Apple ปิดช่องโหว่ดังกล่าวในเวอร์ชัน macOS ที่เกี่ยวข้อง แต่ไม่ได้ให้ข้อมูลเชิงเทคนิคเพิ่มเติมหรือแผนงานในการปรับปรุง Gatekeeper ให้ครอบคลุมกรณีนี้อย่างเต็มที่ บริษัทยังไม่ตอบคำขอคอมเมนท์จากสื่อภายนอก

Implications

แม้ว่า Apple จะมองว่าการโจมตีนี้อยู่นอกขอบเขตของ “modifying signed executable” แต่ผลกระทบต่อผู้ใช้ทั่วไปและองค์กรที่พึ่งพาแอปจากเว็บเป็นอย่างมาก การแทนที่แอปโดยไม่มีการตรวจสอบใหม่ทำให้แนวคิด “trusted app” บน macOS ลดความเชื่อถือได้

นักวิจัยชี้ว่า หากผู้ใช้ไม่ระมัดระวังต่อคำสั่งใน Terminal หรือไฟล์ script ที่รันจากแหล่งที่ไม่น่าเชื่อถือ การโจมตีอาจเกิดขึ้นได้อย่างง่ายดาย นอกจากนี้ ความสามารถในการสร้างหน้าต่าง UI ที่ดูเหมือนแอปต้นฉบับยังเพิ่มความเสี่ยงของการฟิชชิงภายในระบบ macOS

องค์กรควรพิจารณาใช้มาตรการเสริมเช่น การจำกัดสิทธิ์การติดตั้งซอฟต์แวร์จากผู้ใช้ทั่วไป การตรวจสอบ checksum ของไฟล์ที่ดาวน์โหลด และการฝึกอบรมพนักงานให้หลีกเลี่ยงการคัดลอกคำสั่งโดยไม่ได้ตรวจสอบแหล่งที่มาอย่างละเอียด

Summary

การค้นพบช่องโหว่ใน Gatekeeper ที่ทำให้แอป macOS ที่ดาวน์โหลดจากเว็บสามารถถูกแทนที่ด้วยเวอร์ชันประสงค์ร้ายโดยไม่มีสิทธิ์ระดับผู้ดูแลระบบ ส่งสัญญาณเตือนถึงข้อจำกัดของระบบตรวจสอบความปลอดภัยของ Apple แม้จะได้รับการแก้ไขแล้ว แต่ความเสี่ยงต่อผู้ใช้และองค์กรยังคงต้องได้รับการจัดการผ่านมาตรการป้องกันเพิ่มเติม.