Als we het over hebben gehad een exploit die de controle over elke Mac kan overnemen Zelfs als het later is geformatteerd of de opslageenheid is gewijzigd, weten we nu dat een nieuwe exploit ons in staat stelt hetzelfde te doen, maar dit keer op afstand zonder fysiek toegang te hebben tot de computer via een Thunderbolt-verbinding. Niet alle computers worden echter getroffen, aangezien het alleen aanwezig is in Macs van vóór 2014, die nog niet zijn bijgewerkt om deze storing te voorkomen.
De kwetsbaarheid is ontdekt door de OSX-beveiligingsonderzoeker, Pedro Vilaca, en is specifiek gebaseerd op een beveiligingslek waardoor herschrijf bepaalde delen van het BIOS net op het moment dat de machine "ontwaakt" uit een staat van rust of inactiviteit.
Normaal gesproken, zodat dit niet gebeurt, is de apparatuur uitgerust met een bescherming bekend als FLOCKDN waardoor applicaties geen toegang hebben tot de BIOS-regio, maar om een nog onbekende reden is deze bescherming inactief op het moment dat de Mac terugkeert uit die inactieve toestand. Dit zou de weg vrijlaten voor verschillende applicaties om het BIOS te flashen en de firmware-interface (EFI) te wijzigen.
«De inbreuk op de beveiliging kan zijn bruikbaar via Safari of een andere externe vector om een EFI-rootkit te installeren zonder fysieke toegang ”, zei Vilaca op zijn blog. «De enige vereiste is dat de apparatuur wordt opgeschort tijdens de sessie die wordt gebruikt. Ik heb nog niet genoeg onderzoek gedaan, maar je kunt het systeem waarschijnlijk in slaapstand dwingen en de aanval later activeren. Het zou een epos worden ;-) »
Eenmaal geïnstalleerd, zou de kwaadaardige code erg moeilijk te detecteren of te verwijderen zijn, maar het formatteren of opnieuw installeren van het besturingssysteem zou niets opleveren, aangezien het BIOS gewijzigd zou blijven om toegang mogelijk te maken. Helaas kunnen kwetsbare Mac-gebruikers niet veel doen om misbruik te voorkomen. totdat Apple een patch uitbrengt.
Vilaca wijst er in elk geval op dat gewone gebruikers zich ook niet al te veel zorgen moeten maken, aangezien het meer dan waarschijnlijk is dat deze exploit is gepland in het licht van een massale aanval en niet in specifieke teams. Tot dusver is het getest op een MacBook Pro Retina, een MacBook Pro 8.2 en een MacBook Air met de nieuwste beschikbare Apple EFI-firmware, allemaal met succes. De enige computers die niet worden getroffen, zijn computers die van midden tot eind 2014 draaien.
Het zou interessant zijn om te weten of deze exploit gevolgen kan hebben voor de eigenaren van Hackintosh-apparatuur, en toch laat het de veiligheid van de Mac op de grond ... betreurenswaardig.