Udostępnianie ekranu na komputerze Mac: hasło nie jest tutaj pomocne

Firma Apple rzadko wydaje aktualizację, która usuwa dokładnie jedną lukę. 6 sierpnia jednak tak się stało. Systemy macOS Tahoe 26.6.1, Sequoia 15.7.9 oraz Sonoma 14.8.9 zostały udostępnione wraz z jednym wpisem w dokumencie dotyczącym bezpieczeństwa, umieszczonym w sekcji „Screen Sharing”.

Sformułowanie użyte przez firmę Apple jest zwięzłe: osoba atakująca w sieci może uzyskać dostęp do funkcji udostępniania ekranu bez posiadania prawidłowych danych uwierzytelniających. Bez hasła nie ma uprawnień. Dwanaście dni później agencja CISA dodała tę lukę do swojego katalogu aktywnie wykorzystywanych luk w zabezpieczeniach i dała amerykańskim agencjom federalnym trzy dni na zainstalowanie poprawki.

Dlaczego hasło nie pomaga

Funkcja „Udostępnianie ekranu” pozwala na zdalne wyświetlanie obrazu i sterowanie komputerem Mac. Po jej włączeniu zazwyczaj wybiera się osoby, które mogą nawiązać połączenie, oraz ustawia hasło. Właśnie w tym tkwi fałszywe poczucie bezpieczeństwa. Luka pojawia się przed etapem uwierzytelniania.

Zmiana hasła, usunięcie użytkowników z listy, wyłączenie starszego logowania VNC: żadne z tych działań nie ma znaczenia, co potwierdzają w identycznych słowach firmy zajmujące się bezpieczeństwem – Huntress i MacStadium. Istnieją dokładnie dwa sposoby rozwiązania tego problemu: aktualizacja oprogramowania lub wyłączenie tej funkcji.

Od 7,1 do 9,8

W dniu aktualizacji luka została sklasyfikowana jako o średnim poziomie zagrożenia. Pierwotna ocena wyniosła 7,1 na 10 i zakładała, że osoba atakująca posiadała już uprawnienia w systemie. 14 sierpnia agencja CISA skorygowała tę ocenę. Wymóg posiadania uprawnień został zniesiony, a poziomy integralności i dostępności wzrosły do wysokiego, co spowodowało wzrost oceny do 9,8. Cztery dni później pojawił się wpis w katalogu aktywnie wykorzystywanych luk w zabezpieczeniach wraz z adnotacją, że atak można zautomatyzować.

Warto zwrócić uwagę na to, czego firma Apple nie podaje. We wszystkich trzech dokumentach dotyczących bezpieczeństwa brakuje standardowej wzmianki o zgłoszeniu aktywnego wykorzystywania luki. Zgłoszenia te pochodziły z innych źródeł – najpierw z holenderskiego NCSC, a następnie od firmy Microsoft.

Posiadanie domowego routera nie gwarantuje automatycznie bezpieczeństwa

Większość doniesień wskazuje, że zagrożone są urządzenia z portem 5900 otwartym na Internet. Dotyczy to ataków zaobserwowanych do tej pory. Nie dotyczy to jednak samej luki. Firma Apple wspomina o atakującym w sieci, a serwis MacStadium interpretuje to jako każdego, kto ma dostęp do usługi.

Obejmuje to zatem osobę korzystającą z tej samej sieci Wi-Fi, zainfekowane urządzenie w sieci domowej lub gościa w sieci firmowej. Dla Państwa oznacza to, że router domowy chroni Państwa przed skanerami z Internetu, o ile nie skonfigurowali Państwo przekierowania portów. Nie chroni on jednak przed laptopem, który ktoś przyniesie ze sobą.

40 000 narażonych komputerów Mac, z których większość to urządzenia prywatne

Badacz bezpieczeństwa Pedro Vilaça przeprowadził skanowanie w poszukiwaniu narażonych urządzeń na początku sierpnia. Zidentyfikowano około 40 000 dostępnych usług udostępniania ekranu, z czego prawie połowa znajduje się w Stanach Zjednoczonych. Najciekawsza jest jego uwaga dodatkowa: większość z nich to połączenia domowe.

Nie są to przede wszystkim serwery. Są to komputery Mac należące do osób, które w pewnym momencie skonfigurowały zdalny dostęp i nigdy więcej o tym nie pomyślały. Nie ma oficjalnych danych z określoną datą graniczną; firma Huntress wspomina o dziesiątkach tysięcy, nie podając konkretnej liczby. Skan przeprowadzony przez Vilaçę stanowi pojedynczy punkt danych, a nie serię pomiarów.

Zainstalowanie poprawki nie oczyszcza komputera, który został już zaatakowany

18 sierpnia firma Microsoft opisała, jakie działania podejmują atakujący po uzyskaniu dostępu do systemu. Działania te pozostają aktywne pomimo wszelkich aktualizacji, ponieważ nie mają one nic wspólnego z samą luką.

Ciąg wydarzeń po włamaniu

Według firmy Microsoft osoby atakujące wprowadzają skrypty oraz klucz SSH na komputer Mac za pośrednictwem funkcji udostępniania ekranu, a następnie zapewniają sobie stały dostęp. Następnie usuwają historię i logi, zmieniają ustawienia filtru pakietów oraz instalują program do wydobywania kryptowaluty Monero – XMRig w wersji 6.26.0.

Kod jest podpisywany ad hoc, umieszczany w ukrytej ścieżce i podszywający się pod proces com.apple.airportd, dzięki czemu wygląda jak proces systemowy firmy Apple. Jest uruchamiany za pośrednictwem LaunchDaemon z opcją KeepAlive, dzięki czemu przetrwa każde ponowne uruchomienie systemu.

Nikt nie podaje konkretnych liczb. Firma Microsoft wspomina o ograniczonej liczbie urządzeń, których dotyczy problem, natomiast holenderskie NCSC informuje o kilku systemach, w których port 5900 był dostępny z Internetu i w każdym przypadku uzyskano dostęp z uprawnieniami administratora. Nie jest jasne, czy działania wykraczały poza wydobywanie kryptowalut.

Co należy teraz zrobić

Najpierw proszę sprawdzić, czy funkcja udostępniania ekranu jest w ogóle włączona. Droga do tej opcji prowadzi przez menu Apple, Ustawienia systemowe, Ogólne w pasku bocznym, a następnie Udostępnianie. Znajduje się ona dość daleko w dół, więc trzeba przewinąć stronę. Jeśli przełącznik jest wyłączony, nie ma Pan/Pani możliwości korzystania z tej funkcji.

Po drugie, proszę sprawdzić opcję „Zdalne zarządzanie” na tej samej stronie. Jest to druga ścieżka zdalnego dostępu do tego samego komputera Mac i powinna być wyłączona, chyba że celowo z niej Pan/Pani korzysta. Obie opcje nie mogą być aktywne jednocześnie.

Po trzecie, proszę zaktualizować system. Jedyne wersje, które eliminują tę lukę, to 26.6.1, 15.7.9 i 14.8.9. Nie ma poprawki dla systemu macOS Ventura i starszych wersji, więc w tym przypadku jedyną opcją jest wyłączenie tej funkcji.

Ponadto, jeśli przywrócą Państwo komputer Mac ze starszego obrazu odzyskiwania, otrzymają Państwo wersję podatną na ataki i będą Państwo musieli ją zaktualizować, zanim komputer po raz pierwszy połączy się z siecią.

Po czwarte, jeśli komputer Mac pozostawał podłączony do sieci z otwartym portem, sama aktualizacja nie wystarczy. Należy sprawdzić klucze SSH i procesy LaunchDaemons oraz zmienić dane uwierzytelniające. Jeśli chcą Państwo mieć pewność, należy wyczyścić system i zainstalować go od nowa.

Jeśli naprawdę potrzebują Państwo zdalnego dostępu

to nie należy tego upubliczniać. Rada naukowców z Kalifornii, którzy przeanalizowali tę poprawkę, jest zwięzła: najlepiej wyłączyć funkcję udostępniania ekranu, a jeśli musi ona pozostać włączona, należy ją zabezpieczyć za pomocą sieci VPN lub reguły zapory sieciowej. Aby dowiedzieć się, ile przełączników użytkownicy włączają raz, a potem o nich zapominają, proszę zapoznać się z tym, czego nie obejmuje funkcja szkoleniowa w ChatGPT.