MacOS 0-Day 漏洞:駭客執行惡意程式碼並假造滑鼠點擊

資安專家發現 MacOS Mojave 最新 0-Day 漏洞,駭客可製造假的滑鼠點擊,讓作業系統以為惡意軟體取得用戶授權執行。

內文:

資安專家表示,這個新發現的 MacOS Mojave 0-Day 漏洞,是用來跳過作業系統對來源不明軟體的安裝限制之用。

在用戶安裝不明來源的軟體時,MacOS 會跳出視窗,要求用戶授權系統執行該軟體,但遇到 Apple 認證開發者發行的軟體時,就沒有這個步驟。

研究者利用這個特性,成功把受信任軟體改寫成惡意軟體,以跳過授權畫面;並且利用該程式進行各種惡意操作;例如偷偷打開麥克風進行竊聽;而為了避免用戶查覺畫面上出現的麥克風啟動訊息,該惡意軟體可透過假造滑鼠點擊來啟動休眠模式。

該研究者已經將此漏洞向 Apple 通報。

參考連結:

  1. https://threatpost.com/macos-zero-day-malicious-code/145259/
  2. https://www.wired.com/story/apple-macos-bug-synthetic-clicks/

發表留言