macOS Bypassing Firewalls
Técnicas Encontradas
As seguintes técnicas foram encontradas funcionando em alguns aplicativos de firewall do macOS.
Abusando de nomes de lista branca
Por exemplo, chamando o malware com nomes de processos conhecidos do macOS como
launchd
Clique Sintético
Se o firewall solicitar permissão ao usuário, faça o malware clicar em permitir
Usar binários assinados pela Apple
Como
curl
, mas também outros comowhois
Domínios da Apple conhecidos
O firewall pode estar permitindo conexões com domínios da Apple conhecidos, como apple.com
ou icloud.com
. E o iCloud poderia ser usado como um C2.
Bypass Genérico
Algumas ideias para tentar burlar firewalls
Verificar tráfego permitido
Saber o tráfego permitido ajudará a identificar domínios potencialmente na lista branca ou quais aplicativos têm permissão para acessá-los
Abusando do DNS
As resoluções de DNS são feitas através do aplicativo assinado mdnsreponder
, que provavelmente terá permissão para contatar servidores DNS.
Via aplicativos do navegador
oascript
Google Chrome
Firefox
Safari
Através de injeções de processos
Se você pode injetar código em um processo que tem permissão para se conectar a qualquer servidor, você pode contornar as proteções do firewall:
macOS Process AbuseReferências
Last updated