Что такое osascript mac os
Стоит специалистам обнаружить в системе — неважно какой платформы — уязвимость или новую технику атаки, как рядовые пользователи тут же попадают под массированный пресс со стороны СМИ, разработчиков антивирусных решенией и самих злоумышленников, которые вместе раздувают проблему до вселенских масштабов. С продуктами Apple это справедливо вдвойне, так как разработчики получают шанс «впарить» пользователю продукт, не вызывающего у того никакого интереса, СМИ всегда рады подковырнуть Купертино, а злоумышленники делают себе репутацию на популярности Apple.
В этом шторме информации простым пользователям зачастую сложно отделить зерна от плевел, определить реальный риск от угрозы и принять соответствующие действия.
Все это мы наблюдаем непосредственно в данный момент, когда за последнюю неделю в Сети появилась информация о трех новых «троянах» для Mac OS X. Все началось в конце прошлой недели, когда появились первые сообщения об уязвимости в компоненте Mac OS X ARDAgent. Чуть позднее появились сведения и первом «трояне» данного типа под названием AppleScript.THT. Моментом тут же воспользовались разработчики антивирусов, быстро растиражировавшие проблему и тут же предлагая купить соответствующие средства защиты. История начала обрастать слухами и небылицами, новыми историями и т.д. Но каков реальный риск для рядовых пользователей?
Хорошие новости заключаются в том, что по природе этой уязвимости, степень риска достаточно низка. Есть и плохая новость. Теоретически, в будущем атаки могут стать более изощренными и серьезными. Как обычно, Apple следует предпринимать меры как можно быстрее.
Вернемся к уязвимости. Она относится к тому классу, который мы называем «локальный перехват прав доступа». Через нее пользователь системы может повысить свои права доступа до уровня администратора «root», а это означает полый контроль над системой. Таким образом, даже если вы работаете на компьютере под правами рядового пользователя, через эту язвимость статус можно поднять до администраторского и обойти все запреты и ограничения. В нашем случае, проблема обнаружилась в агентской программе Apple Remote Desktop (ARDAgent), которая использует технику SUID для выполнения определенных операций от лица root-администратора. Надо сказать, это распространенная техника среди Unix-систем и она временами действительно становится источником определенных неприятностей. ARDAgent поддерживает исполнение сценариев AppleScript, которые, в свою очередь, могут оперировать Терминальными командами, запуская таким образом другие программы, и делать это от лица администратора компьютера, не спрашивая его пароля. Вот простой пример. Выполните в Терминале следующую простую команду:
osascript -e ‘tell app «ARDAgent» to do shell script «reallybadstuff»‘
У вас система спросила пароль? Нет, но при этом попыталась запустить программу «reallybadstuff» от лица администратора.
Когда в Сети только появилась информация об этой уязвимости, мы особо не волновались. Злоумышленник, чтобы использовать ее, все еще должен сначала получить доступ к системе, что не такая уж и простая задача. Перехват прав доступа обычно используется в двух ситуациях. Если кто-то имеет физический или удаленный доступ к компьютеру. Они тогда берут себе права администратора и устанавливают тот софт, который пожелают.
Вторая ситуация серьезнее. Атакующий сначала использует брешь в системе для того, чтобы получить доступ к учетной записи пользователя на машине, а затем перехватывает права администратора и устанавливает все, что взбредет в его голову. Именно такие двухходовые атаки наиболее и распространены, хотя на Маках реальных примеров взлома мы так и не видели. Чаще всего злодеи «заходят» в систему через уязвимость в Web-броузере (так проще всего), затем перехватывают права доступа и вот уже на невидимом автобусе заезжают к вам в офис или домой. Вот этот автобус мы и называем «трояном».
Другими словами, «трояны» не являются вирусами или «червями». Они не взламывают вашу систему, а аккуратно устанавливают по настоящему опасный софт.
Первым «трояном», который использует уязвимость в ARDAgent, стала утилита PokerStealer (обнаруженная Intego). Она маскируется под карточную игру «Покер», но после запуска перехватывает права и устанавливает программу для записи всего всего, что вы набираете на компьютере.
Пару дней назад Washington Post сообщил о более серьезной модификации. Некто разработал инструмент, позволяющий в такой «троян» превратить любое Мак-приложение. Причем интересно, согласно этой статье выходит, что данная «среда разработки» была создана еще в мае. Сколько за это время по Сети разошлось «зараженных» программ — об этом пока не хочется даже думать.
До тех пор, пока Apple не выпустила соответствующий апдейт, есть два способа защиты своего компьютера. Во-первых, вы можете изменить права доступа к самому агенту ARDAgent. Для этого в Терминале надо выполнить всего лишь одну команду:
sudo chmod -R u-s /System/Library/CoreServices/RemoteManagement/ARDAgent.app
Во-вторых, если вы не используете Apple Remote Desktop, то злополучный агент можно временно отключить. практически, топором. Идите в папку /System/Library/CoreServices/RemoteManagement/, скопируйте ARDAgent.app на Рабочий стол, а оригинал смело удаляйте. Файлик на Рабочем столе теперь архивируем и убираем куда-нибудь подальше до лучших времен. Как только он понадобится — разархивируйте его и положите в исходную папку.
Заключение. Мы стараемся не писать статьи подобного плана, так как не хотим привлекать к таким проблемам больше внимания, чем они того стоят. Сейчас же мы изменили своей традиции всего лишь по одной причине. Проблема, на самом деле, не так серьезна, как ее хотят некоторые показать. Но с ростом популярности коммуникаторов iPhone и платформы Apple в целом, не исключено появление более серьезных уязвимостей и проблем. Лучше сейчас приучать себя к тому, что не надо скачивать софт из незнакомых ресурсов (включая незнакомые торренты). Безопасность стоит того, чтобы ей уделять чуточку больше внимания. А прятать голову в песок. От этого проблема не исчезнет. Хотя и не станет больше, чем она есть на самом деле.
| Общие вопросы: info@deepa.ru Продажа: sales@deepa.ru Сервис: service@deepa.ru Поболтать: public@deepa.ru | deepapple.comdeepstore.ru |
Как удалить вирус
