La sicurezza di macOS poggia in gran parte su Gatekeeper, il sistema incaricato di verificare che ogni software proveniente dall'esterno dell'App Store sia notarizzato da Apple e non alterato. Tuttavia, un recente studio condotto dai ricercatori Talal Haj Bakry e Tommy Mysk rivela una falla strutturale che permette di bypassare queste difese, trasformando applicazioni fidate in veri e propri "gemelli malvagi".

Il meccanismo della sostituzione silenziosa

Il problema risiede in un vuoto logico nei rituali di firma del codice e nelle verifiche post-installazione. Secondo l'analisi pubblicata sul blog di Mysk, una volta che un utente ha scaricato e avviato per la prima volta un'app dal web, l'eseguibile principale può essere sostituito silenziosamente da un malintenzionato. L'aspetto più critico è che l'operazione non richiede privilegi di amministratore, rendendo l'attacco estremamente fluido.

Al rilancio dell'applicazione, il sistema non genera alcun avviso di sicurezza, eseguendo codice controllato dall'attaccante sotto l'apparenza di un software già approvato e notarizzato. Questo comportamento mette in discussione l'efficacia della protezione on-device di Apple, poiché il controllo di integrità sembra fallire dopo l'iniziale validazione.

Un ecosistema sotto pressione

Questa vulnerabilità si inserisce in un contesto di crescente aggressività verso l'ecosistema Mac. Recentemente è emerso CrashStealer, un infostealer che mima i report di sistema per sottrarre dati dal keychain e wallet crittografici, utilizzando a sua volta installer notarizzati per ingannare Gatekeeper. Altre minacce come l'attacco ClickFix dimostrano come i criminali stiano affinando le tecniche per montare immagini disco malevole e installare software spia senza l'intervento dell'utente.

La risposta di Apple

Nonostante la gravità della scoperta, l'atteggiamento di Cupertino è stato descritto come indifferente. Apple ha valutato il comportamento segnalato dai ricercatori come non meritevole di una correzione di sicurezza, suggerendo che la falla non rappresenti un rischio critico. Questa posizione contrasta con l'evidenza tecnica che permette la sostituzione di eseguibili senza allertare l'utente, lasciando i professionisti IT a gestire il rischio di persistenza del malware su macchine aziendali.

Impatto sul mercato globale

La scoperta evidenzia un trend preoccupante: la fiducia cieca nella notarizzazione di Apple potrebbe diventare un punto debole. Se l'integrità di un software non viene verificata a ogni avvio, ma solo al primo lancio, l'intera catena di fiducia della sicurezza macOS risulta compromessa, aprendo la strada a attacchi mirati basati sulla sostituzione di strumenti di lavoro quotidiani.