HM Surf: el adware invade macOS sin control

Microsoft descubrió y reveló información sobre una vulnerabilidad en el marco de Apple Transparency, Consent, and Control (TCC) utilizado en macOS. La vulnerabilidad, denominada HM Surf y registrada como CVE-2024-44133, permite eludir las configuraciones de privacidad de los usuarios y acceder a sus datos.

El problema fue solucionado en la actualización de macOS Sequoia 15 mediante la eliminación del código vulnerable. La vulnerabilidad permitía a los atacantes acceder a datos confidenciales, incluidos los sitios web visitados, el uso de la cámara, el micrófono y la ubicación del dispositivo sin el consentimiento del usuario. Esto se lograba eliminando la protección de TCC para el directorio de Safari y modificando archivos de configuración.

Microsoft informó que la vulnerabilidad afecta solo a Safari y que la empresa está trabajando con otros fabricantes de navegadores para reforzar la protección de los archivos de configuración locales.

Anteriormente, Microsoft había descubierto vulnerabilidades similares en macOS, como Shrootless, powerdir, Achilles y Migraine, que también permitían eludir los sistemas de seguridad. En el caso de HM Surf, el ataque implicaba modificar el directorio de inicio del usuario y alterar archivos sensibles, como «PerSitePreferences.db», lo que permitía a Safari utilizar datos manipulados durante su ejecución.

Safari tiene permisos únicos que le permiten eludir TCC mediante los privilegios «com.apple.private.tcc.allow», pero también utiliza el mecanismo Hardened Runtime, lo que dificulta la ejecución de código arbitrario. Sin embargo, como de costumbre, al solicitar acceso por primera vez a la cámara o la geolocalización, el navegador muestra una ventana emergente para la confirmación del usuario.

Microsoft señaló que esta vulnerabilidad se utilizó potencialmente en una campaña conocida de distribución de adware llamada AdLoad. Sin embargo, debido a la falta de información completa sobre los métodos de ataque, los expertos no pudieron confirmar si realmente se utilizó el exploit HM Surf. A pesar de ello, ataques como estos destacan la importancia de mantener actualizados los sistemas de seguridad a tiempo.