Mac曝重大安全漏洞，攻擊者可以秘密截屏
Chris Morris
2021-05-30
在macOS操作系統中新發現的漏洞可能會讓攻擊者在機主不知情的情況下截屏、錄制視頻或訪問硬盤文件。
網絡安全研究公司Jamf發布的一份報告稱，惡意軟件可以避開名為“透明許可與控制”（Transparency Consent and Control，簡稱TCC）的隱私保護功能，該功能通過控制應用程序能夠訪問的資源，從而保護用戶隱私。（例如，該功能要求應用程序經用戶授權后才可以訪問攝像頭或麥克風。）
去年首次發現的一種名為XCSSET的惡意軟件，利用其他應用程序獲得的權限繞過TCC隱私保護功能，廣泛訪問受感染的Mac。
Jamf寫道：“檢測小組發現，惡意軟件XCSSET一旦安裝在受害者的系統上，無需額外權限，即可專門被用來截取用戶桌面的屏幕截圖。”
當人們在家工作并使用Mac進行Zoom 會議等活動時，這種問題就更加嚴重，因為此時極易受到攻擊。比如，Jamf指出，惡意軟件能夠連接到Zoom并錄制用戶的屏幕，但不會給出任何提示。
蘋果公司已經發布了一款補丁軟件來阻止XCSSET利用此漏洞，并建議人們立即為安裝macOS 11.4及以上版本的Mac下載該補丁軟件。
這并非蘋果今年發生的第一起安全問題。安全專家曾經警告稱，4月，AirDrop功能隱藏的漏洞可能會讓15億用戶的個人信息面臨安全風險。（財富中文網）
翻譯：郝秀
審校：汪皓
在macOS操作系統中新發現的漏洞可能會讓攻擊者在機主不知情的情況下截屏、錄制視頻或訪問硬盤文件。
網絡安全研究公司Jamf發布的一份報告稱，惡意軟件可以避開名為“透明許可與控制”（Transparency Consent and Control，簡稱TCC）的隱私保護功能，該功能通過控制應用程序能夠訪問的資源，從而保護用戶隱私。（例如，該功能要求應用程序經用戶授權后才可以訪問攝像頭或麥克風。）
去年首次發現的一種名為XCSSET的惡意軟件，利用其他應用程序獲得的權限繞過TCC隱私保護功能，廣泛訪問受感染的Mac。
Jamf寫道：“檢測小組發現，惡意軟件XCSSET一旦安裝在受害者的系統上，無需額外權限，即可專門被用來截取用戶桌面的屏幕截圖。”
當人們在家工作并使用Mac進行Zoom 會議等活動時，這種問題就更加嚴重，因為此時極易受到攻擊。比如，Jamf指出，惡意軟件能夠連接到Zoom并錄制用戶的屏幕，但不會給出任何提示。
蘋果公司已經發布了一款補丁軟件來阻止XCSSET利用此漏洞，并建議人們立即為安裝macOS 11.4及以上版本的Mac下載該補丁軟件。
這并非蘋果今年發生的第一起安全問題。安全專家曾經警告稱，4月，AirDrop功能隱藏的漏洞可能會讓15億用戶的個人信息面臨安全風險。（財富中文網）
翻譯：郝秀
審校：汪皓
A newly discovered flaw in the macOS operating system could allow intruders to take screenshots, record video, or access files on a hard drive without the machine owner’s knowledge.
A report from cybersecurity research firm Jamf says the bypass performs an end-run around a privacy feature known as Transparency Consent and Control, which controls the resources applications have access to, as a privacy safeguard. (This is the feature that asks for a user's permission when an app wants access to the camera or microphone, for example.)
A type of malware, dubbed XCSSET, which was first discovered last year, has found a way to use permissions obtained by other apps to bypass TCC, giving it broad access to infected Macs.
“The detection team noted that once installed on the victim’s system, XCSSET was using this bypass specifically for the purpose of taking screenshots of the user’s desktop without requiring additional permissions,” Jamf wrote.
That’s especially troublesome in an environment where people are working from home and using their Macs for activities such as Zoom calls, which can be especially vulnerable. In one example Jamf illustrated, the malware was able to hook into Zoom and record the user’s screen without any sort of prompt.
Apple already has issued a patch to keep XCSSET from using this vulnerability and is encouraging anyone running macOS 11.4 or later to download it immediately.
This isn’t the first security issue for Apple this year. Security experts sounded a warning that a feature tied with AirDrop could put the personal information of 1.5 billion users at risk in April.
財富中文網所刊載內容之知識產權為財富媒體知識產權有限公司及/或相關權利人專屬所有或持有。未經許可，禁止進行轉載、摘編、復制及建立鏡像等任何使用。
