macOS Gatekeeper / Quarantine / XProtect

```c #include #include

enum qtn_flags { QTN_FLAG_DOWNLOAD = 0x0001, QTN_FLAG_SANDBOX = 0x0002, QTN_FLAG_HARD = 0x0004, QTN_FLAG_USER_APPROVED = 0x0040, };

#define qtn_proc_alloc _qtn_proc_alloc #define qtn_proc_apply_to_self _qtn_proc_apply_to_self #define qtn_proc_free _qtn_proc_free #define qtn_proc_init _qtn_proc_init #define qtn_proc_init_with_self _qtn_proc_init_with_self #define qtn_proc_set_flags _qtn_proc_set_flags #define qtn_file_alloc _qtn_file_alloc #define qtn_file_init_with_path _qtn_file_init_with_path #define qtn_file_free _qtn_file_free #define qtn_file_apply_to_path _qtn_file_apply_to_path #define qtn_file_set_flags _qtn_file_set_flags #define qtn_file_get_flags _qtn_file_get_flags #define qtn_proc_set_identifier _qtn_proc_set_identifier

typedef struct _qtn_proc *qtn_proc_t; typedef struct _qtn_file *qtn_file_t;

int qtn_proc_apply_to_self(qtn_proc_t); void qtn_proc_init(qtn_proc_t); int qtn_proc_init_with_self(qtn_proc_t); int qtn_proc_set_flags(qtn_proc_t, uint32_t flags); qtn_proc_t qtn_proc_alloc(); void qtn_proc_free(qtn_proc_t); qtn_file_t qtn_file_alloc(void); void qtn_file_free(qtn_file_t qf); int qtn_file_set_flags(qtn_file_t qf, uint32_t flags); uint32_t qtn_file_get_flags(qtn_file_t qf); int qtn_file_apply_to_path(qtn_file_t qf, const char *path); int qtn_file_init_with_path(qtn_file_t qf, const char path); int qtn_proc_set_identifier(qtn_proc_t qp, const char bundleid);

int main() {

qtn_proc_t qp = qtn_proc_alloc(); qtn_proc_set_identifier(qp, "xyz.hacktricks.qa"); qtn_proc_set_flags(qp, QTN_FLAG_DOWNLOAD | QTN_FLAG_USER_APPROVED); qtn_proc_apply_to_self(qp); qtn_proc_free(qp);

FILE *fp; fp = fopen("thisisquarantined.txt", "w+"); fprintf(fp, "Hello Quarantine\n"); fclose(fp);

return 0;

}

</details>

Y **elimina** ese atributo con:
```bash
xattr -d com.apple.quarantine portada.png
#You can also remove this attribute from every file with
find . -iname '*' -print0 | xargs -0 xattr -d com.apple.quarantine

Y encuentra todos los archivos en cuarentena con:

find / -exec ls -ld {} \; 2>/dev/null | grep -E "[x\-]@ " | awk '{printf $9; printf "\n"}' | xargs -I {} xattr -lv {} | grep "com.apple.quarantine"

La información de cuarentena también se almacena en una base de datos central gestionada por LaunchServices en ~/Library/Preferences/com.apple.LaunchServices.QuarantineEventsV2, lo que permite a la GUI obtener datos sobre los orígenes de los archivos. Además, esto puede ser sobrescrito por aplicaciones que podrían estar interesadas en ocultar sus orígenes. Además, esto se puede hacer desde las API de LaunchServices.

libquarantine.dylb

Esta biblioteca exporta varias funciones que permiten manipular los campos de atributos extendidos.

Las API qtn_file_* se ocupan de las políticas de cuarentena de archivos, las API qtn_proc_* se aplican a procesos (archivos creados por el proceso). Las funciones no exportadas __qtn_syscall_quarantine* son las que aplican las políticas que llaman a mac_syscall con "Quarantine" como primer argumento, lo que envía las solicitudes a Quarantine.kext.

Quarantine.kext

La extensión del kernel solo está disponible a través de la caché del kernel en el sistema; sin embargo, puedes descargar el Kernel Debug Kit de https://developer.apple.com/, que contendrá una versión simbolizada de la extensión.

Este Kext enganchará a través de MACF varias llamadas para atrapar todos los eventos del ciclo de vida del archivo: Creación, apertura, renombrado, enlace duro... incluso setxattr para evitar que se establezca el atributo extendido com.apple.quarantine.

También utiliza un par de MIBs:

• security.mac.qtn.sandbox_enforce: Hacer cumplir la cuarentena junto con Sandbox

• security.mac.qtn.user_approved_exec: Los procesos en cuarentena solo pueden ejecutar archivos aprobados

XProtect

XProtect es una función de anti-malware integrada en macOS. XProtect verifica cualquier aplicación cuando se lanza por primera vez o se modifica contra su base de datos de malware conocido y tipos de archivos inseguros. Cuando descargas un archivo a través de ciertas aplicaciones, como Safari, Mail o Messages, XProtect escanea automáticamente el archivo. Si coincide con algún malware conocido en su base de datos, XProtect impedirá que el archivo se ejecute y te alertará sobre la amenaza.

La base de datos de XProtect se actualiza regularmente por Apple con nuevas definiciones de malware, y estas actualizaciones se descargan e instalan automáticamente en tu Mac. Esto asegura que XProtect esté siempre actualizado con las últimas amenazas conocidas.

Sin embargo, vale la pena señalar que XProtect no es una solución antivirus completa. Solo verifica una lista específica de amenazas conocidas y no realiza escaneos en acceso como la mayoría del software antivirus.

Puedes obtener información sobre la última actualización de XProtect ejecutando:

system_profiler SPInstallHistoryDataType 2>/dev/null | grep -A 4 "XProtectPlistConfigData" | tail -n 5

XProtect se encuentra en una ubicación protegida por SIP en /Library/Apple/System/Library/CoreServices/XProtect.bundle y dentro del paquete puedes encontrar información que XProtect utiliza:

• XProtect.bundle/Contents/Resources/LegacyEntitlementAllowlist.plist: Permite que el código con esos cdhashes use derechos heredados.

• XProtect.bundle/Contents/Resources/XProtect.meta.plist: Lista de plugins y extensiones que no están permitidos cargar a través de BundleID y TeamID o indicando una versión mínima.

• XProtect.bundle/Contents/Resources/XProtect.yara: Reglas de Yara para detectar malware.

• XProtect.bundle/Contents/Resources/gk.db: Base de datos SQLite3 con hashes de aplicaciones bloqueadas y TeamIDs.

Ten en cuenta que hay otra aplicación en /Library/Apple/System/Library/CoreServices/XProtect.app relacionada con XProtect que no está involucrada en el proceso de Gatekeeper.

No Gatekeeper

Ten en cuenta que Gatekeeper no se ejecuta cada vez que ejecutas una aplicación, solo AppleMobileFileIntegrity (AMFI) verificará las firmas de código ejecutable cuando ejecutes una aplicación que ya ha sido ejecutada y verificada por Gatekeeper.

Por lo tanto, anteriormente era posible ejecutar una aplicación para almacenarla en caché con Gatekeeper, luego modificar archivos no ejecutables de la aplicación (como archivos asar de Electron o NIB) y si no había otras protecciones en su lugar, la aplicación era ejecutada con las adiciones maliciosas.

Sin embargo, ahora esto no es posible porque macOS previene la modificación de archivos dentro de los paquetes de aplicaciones. Así que, si intentas el ataque Dirty NIB, descubrirás que ya no es posible abusar de él porque después de ejecutar la aplicación para almacenarla en caché con Gatekeeper, no podrás modificar el paquete. Y si cambias, por ejemplo, el nombre del directorio Contents a NotCon (como se indica en el exploit), y luego ejecutas el binario principal de la aplicación para almacenarla en caché con Gatekeeper, se generará un error y no se ejecutará.

Bypasses de Gatekeeper

Cualquier forma de eludir Gatekeeper (lograr que el usuario descargue algo y lo ejecute cuando Gatekeeper debería prohibirlo) se considera una vulnerabilidad en macOS. Estos son algunos CVEs asignados a técnicas que permitieron eludir Gatekeeper en el pasado:

CVE-2021-1810

Se observó que si se utiliza la Utilidad de Archivos para la extracción, los archivos con rutas que superan los 886 caracteres no reciben el atributo extendido com.apple.quarantine. Esta situación permite inadvertidamente que esos archivos eludan las verificaciones de seguridad de Gatekeeper.

Consulta el informe original para más información.

CVE-2021-30990

Cuando se crea una aplicación con Automator, la información sobre lo que necesita para ejecutarse está dentro de application.app/Contents/document.wflow y no en el ejecutable. El ejecutable es solo un binario genérico de Automator llamado Automator Application Stub.

Por lo tanto, podrías hacer que application.app/Contents/MacOS/Automator\ Application\ Stub apunte con un enlace simbólico a otro Automator Application Stub dentro del sistema y ejecutará lo que hay dentro de document.wflow (tu script) sin activar Gatekeeper porque el ejecutable real no tiene el xattr de cuarentena.

Ejemplo de ubicación esperada: /System/Library/CoreServices/Automator\ Application\ Stub.app/Contents/MacOS/Automator\ Application\ Stub

Consulta el informe original para más información.

CVE-2022-22616

En este bypass se creó un archivo zip con una aplicación comenzando a comprimir desde application.app/Contents en lugar de application.app. Por lo tanto, el atributo de cuarentena se aplicó a todos los archivos de application.app/Contents pero no a application.app, que es lo que Gatekeeper estaba verificando, por lo que Gatekeeper fue eludido porque cuando se activó application.app no tenía el atributo de cuarentena.

zip -r test.app/Contents test.zip

Consulta el informe original para más información.

CVE-2022-32910

Incluso si los componentes son diferentes, la explotación de esta vulnerabilidad es muy similar a la anterior. En este caso, generaremos un Apple Archive desde application.app/Contents para que application.app no obtenga el atributo de cuarentena cuando sea descomprimido por Archive Utility.

aa archive -d test.app/Contents -o test.app.aar

Consulta el informe original para más información.

CVE-2022-42821

El ACL writeextattr se puede usar para evitar que alguien escriba un atributo en un archivo:

touch /tmp/no-attr
chmod +a "everyone deny writeextattr" /tmp/no-attr
xattr -w attrname vale /tmp/no-attr
xattr: [Errno 13] Permission denied: '/tmp/no-attr'

Además, el formato de archivo AppleDouble copia un archivo incluyendo sus ACEs.

En el código fuente es posible ver que la representación de texto de la ACL almacenada dentro del xattr llamado com.apple.acl.text se va a establecer como ACL en el archivo descomprimido. Así que, si comprimiste una aplicación en un archivo zip con el formato de archivo AppleDouble con una ACL que impide que otros xattrs sean escritos en él... el xattr de cuarentena no se estableció en la aplicación:

chmod +a "everyone deny write,writeattr,writeextattr" /tmp/test
ditto -c -k test test.zip
python3 -m http.server
# Download the zip from the browser and decompress it, the file should be without a quarantine xattr

Consulta el informe original para más información.

Ten en cuenta que esto también podría ser explotado con AppleArchives:

mkdir app
touch app/test
chmod +a "everyone deny write,writeattr,writeextattr" app/test
aa archive -d app -o test.aar

CVE-2023-27943

Se descubrió que Google Chrome no estaba configurando el atributo de cuarentena para los archivos descargados debido a algunos problemas internos de macOS.

CVE-2023-27951

Los formatos de archivo AppleDouble almacenan los atributos de un archivo en un archivo separado que comienza con ._, esto ayuda a copiar los atributos de los archivos entre máquinas macOS. Sin embargo, se notó que después de descomprimir un archivo AppleDouble, el archivo que comenzaba con ._ no recibió el atributo de cuarentena.

mkdir test
echo a > test/a
echo b > test/b
echo ._a > test/._a
aa archive -d test/ -o test.aar

# If you downloaded the resulting test.aar and decompress it, the file test/._a won't have a quarantitne attribute

Al poder crear un archivo que no tendrá el atributo de cuarentena, fue posible eludir Gatekeeper. El truco era crear una aplicación de archivo DMG utilizando la convención de nombres AppleDouble (comenzar con ._) y crear un archivo visible como un enlace simbólico a este archivo oculto sin el atributo de cuarentena. Cuando se ejecuta el archivo dmg, como no tiene un atributo de cuarentena, eludirá Gatekeeper.

# Create an app bundle with the backdoor an call it app.app

echo "[+] creating disk image with app"
hdiutil create -srcfolder app.app app.dmg

echo "[+] creating directory and files"
mkdir
mkdir -p s/app
cp app.dmg s/app/._app.dmg
ln -s ._app.dmg s/app/app.dmg

echo "[+] compressing files"
aa archive -d s/ -o app.aar

uchg (de esta charla)

• Crea un directorio que contenga una aplicación.

• Agrega uchg a la aplicación.

• Comprime la aplicación en un archivo tar.gz.

• Envía el archivo tar.gz a una víctima.

• La víctima abre el archivo tar.gz y ejecuta la aplicación.

• Gatekeeper no verifica la aplicación.

Prevenir xattr de Cuarentena

En un paquete ".app", si el xattr de cuarentena no se agrega, al ejecutarlo Gatekeeper no se activará.

Aprende y practica Hacking en AWS:HackTricks Training AWS Red Team Expert (ARTE) Aprende y practica Hacking en GCP: HackTricks Training GCP Red Team Expert (GRTE)