Uma investigação recente revelou que qualquer utilizador comum de um computador com macOS pode contornar e desligar ferramentas de segurança corporativa de forma totalmente silenciosa. O processo pode ser feito sem exigir uma palavra-passe de administrador, sem explorar o núcleo do sistema e sem deixar rastos nos registos de eventos. A descoberta foi detalhada pela Infosecurity Magazine, alertando para uma fragilidade preocupante nos ambientes empresariais.
A vulnerabilidade, descoberta pelos investigadores da XM Cyber, afeta soluções de deteção de ameaças e de gestão de dispositivos altamente populares no mercado corporativo. Para as equipas de tecnologias de informação em Portugal que gerem frotas de equipamentos da Apple, isto representa um risco claro de ameaça interna, onde um funcionário mal-intencionado com acesso base pode desligar a sua própria monitorização sem disparar alarmes nas consolas centrais da organização.
O mecanismo XPC e a origem do problema
Para compreender esta falha, é necessário olhar para a forma como o sistema da Apple organiza as suas aplicações. Muitos programas dividem-se numa interface visível e num processo que corre em segundo plano com privilégios elevados para executar ações sensíveis. Estas duas partes comunicam através de um canal interno designado por XPC, que confia nas mensagens recebidas desde que o componente emissor apresente a assinatura digital correta.
O grande problema reside no facto de o macOS guardar esta verificação num cache temporário. Quando uma aplicação legítima é aberta e a sua assinatura confirmada, o sistema regista essa confiança e não volta a reavaliá-la de forma imediata. É precisamente esta janela de confiança desatualizada que permite a execução de todo o ataque.
Como a exploração acontece na prática
O método de intrusão inicia-se quando um indivíduo abre uma aplicação legítima e assinada, levando o sistema a registar esse processo como confiável. Imediatamente a seguir, a estrutura interna da aplicação é alterada para injetar um ficheiro de interface malicioso, conhecido tecnicamente como NIB.
Este processo modificado passa a operar dentro do contexto de confiança da aplicação original. Com este acesso camuflado, o código malicioso consegue comunicar com o processo privilegiado em segundo plano e invocar funções internas sensíveis, como o encerramento de extensões de rede, levando o software de segurança a desativar-se a si próprio por confiar em quem está a fazer o pedido. Como abusa de um comportamento nativo, a técnica passa completamente despercebida aos filtros habituais.
Correções e fabricantes afetados pela vulnerabilidade
A XM Cyber testou a eficácia desta técnica contra ferramentas reais no mercado de cibersegurança. No caso do sensor Falcon da CrowdStrike, foi possível descarregar completamente a defesa a partir de uma conta normal, interrompendo a visibilidade da rede e dos processos. A empresa já confirmou o cenário, recompensou o investigador e adicionou novas proteções em todas as versões suportadas do sensor para o sistema da Apple. O software de gestão da Kandji também foi alvo da mesma prova de conceito, tendo a debilidade recebido o identificador CVE-2026-39118 antes de ser corrigida.
A solução técnica para os programadores existe nativamente desde a versão 13 do sistema operativo, bastando verificar a identidade real de quem tenta comunicar pelo canal XPC no momento exato da ligação, em vez de depender da memória em cache. Para ajudar a comunidade, o investigador Hillel Pinto desenvolveu a ferramenta de código aberto XPC Hunter, que será apresentada na conferência de segurança Black Hat US em agosto, permitindo varrer ativamente o sistema em busca de aplicações que ainda apresentem interfaces vulneráveis.
Nenhum comentário
Seja o primeiro!