Bu hikayenin bir versiyonu güvenlik yazılarında dolaşıyor, bunlardan bazıları artık yapay zeka asistanları tarafından üretiliyor: MacOS'un arka planda indeksleme arka plan programı mdworker'nin, indirdiğiniz herhangi bir HTML dosyasının içindeki uzak görüntüleri getirdiği iddia ediliyor, böylece asla açmadığınız bir dosya, onu gönderen kişiye yine de IP adresinizi bildirebilir. Bu iyi bir hikaye. Aynı zamanda tekrarlanmadan önce test edilmesi gereken türden bir iddiadır, biz de test ettik.
Yeni bir dosyaya üç farklı şey olur
İddia üç ayrı mekanizmayı bulanıklaştırıyor. Bir dosya diske yerleştiğinde, Spotlight'ın meta veri sunucusu onu bir içe aktarma eklentisine aktarır, bir mdworker_shared işlemi içinde çalıştırılır; bu, metin ve öznitelikleri ayıklayarak dosyanın aranabilir hale gelmesini sağlar (miport ve mdl'ler bunun üzerindeki komut satırı pencereleridir). Ayrı olarak, Finder bir simgeye ihtiyaç duyduğunda Hızlı Bakış Küçük Resmi küçük bir küçük resim oluşturur. Ve yalnızca dosyayı seçip Space tuşuna bastığınızda Hızlı Bakış tam bir önizleme oluşturur. Bunların her biri farklı davranabilir, dolayısıyla her birinin kendi testine ihtiyacı vardır.
Test
Geridöngü adresinde her isteği Kullanıcı Aracısı ile günlüğe kaydeden küçük bir HTTP dinleyicisi çalıştırdık, ardından ~/Downloads içinde ona işaret eden iki dosya oluşturduk: tek piksellik bir görüntüye ve harici bir stil sayfasına sahip bir HTML sayfası ve gömülü harici bir görüntüye sahip bir SVG. Geri döngü, deneyin kendi kendine yetmesini sağlar; uzaktan izleme sunucusu aynı istekleri ve ayrıca genel IP adresinizi alır.
<html><head><title>Q3 Financial Report</title></head><body>
<h1>Financial Summary</h1>
<img src="http://127.0.0.1:8765/html-img.png" width="1" height="1">
<link rel="stylesheet" href="http://127.0.0.1:8765/html-css.css">
</body></html><svg xmlns="http://www.w3.org/2000/svg" xmlns:xlink="http://www.w3.org/1999/xlink" width="100" height="100">
<image xlink:href="http://127.0.0.1:8765/svg-image.png" width="100" height="100"/>
</svg>1. Hemen indiriyorum: Spotlight indeksleme
Dosyaları oluşturduktan sonra 40 saniye bekledik ve ardından Spotlight'ın dosyaları dizine eklediğini doğruladık. Dinleyici hiçbir şey almamıştı.
mdls -name kMDItemContentType ~/Downloads/fireai-lab-test/q3-report.html
kMDItemContentType = "public.html"
# listener log: empty2. Spotlight içe aktarıcısını zorlamak
Zamanlamayı ekarte etmek için ithalatçıyı elle çalıştırdık. Apple'ın RichText içe aktarıcısını kullandı, 37 özelliği çıkardı ve hiçbir talepte bulunmadı.
mdimport -t -d1 ~/Downloads/fireai-lab-test/q3-report.html
Imported '…/q3-report.html' of type 'public.html' with plugIn /System/Library/Spotlight/RichText.mdimporter.
37 attributes returned
# listener log: still empty3. Finder simgesi: Hızlı Bakış küçük resmi
qlmanage -t -s 256 -o /tmp ~/Downloads/fireai-lab-test/q3-report.html ~/Downloads/fireai-lab-test/badge.svg
* …/q3-report.html produced one thumbnail
Done producing thumbnails
# listener log: still empty4. Space tuşuna basmak: Hızlı Bakış önizlemesi
qlmanage -p, Finder'da bir dosya seçip Space'e (qlmanage) basmakla aynı önizleme panelini açar. Bu sefer dinleyici her iki dosya için de hemen heyecanlandı:
qlmanage -p ~/Downloads/fireai-lab-test/q3-report.html
13:40:22.408 GET /html-img.png UA=Mozilla/5.0 (Macintosh; …) AppleWebKit/605.1.15 … Safari/605.1.15
13:40:22.408 GET /html-css.css UA=Mozilla/5.0 (Macintosh; …) AppleWebKit/605.1.15 … Safari/605.1.15
qlmanage -p ~/Downloads/fireai-lab-test/badge.svg
13:40:30.035 GET /svg-image.png UA=Mozilla/5.0 (Macintosh; …) AppleWebKit/605.1.15 … Safari/605.1.15| Kullanıcının yaptığı | Mekanizma | Uzaktan istek mi? |
|---|---|---|
| Hiçbir şey (dosya indirildi) | mdworker_shared'da spot ışığı içe aktarıcı | HAYIR |
| Hiçbir şey (zorunlu içe aktarma) | mdimport, RichText içe aktarıcı | HAYIR |
| Klasöre baktım | Hızlı Bakış küçük resmi (Finder simgesi) | HAYIR |
| Dosyayı seçip Space'e bastık | Hızlı Bakış önizlemesi (WebKit) | Evet: resim, stil sayfası, SVG resmi |
Bu ne anlama geliyor?
"Sıfır tıklama" sürümü ölçtüğümüz şey değil: İndirilenler'de bulunan, Spotlight tarafından dizine eklenen ve bir simge olarak gösterilen bir dosya, ses çıkarmadan. Bu önemlidir, çünkü yanlış model üzerine inşa edilmiş bir savunma, yanlış yerde harcanan çabayı boşa harcar. Örneğin mdworker'ın ağdan engellenmesi bu testte hiçbir şeyi değiştirmezdi.
Tek tuşlu versiyon gerçektir. Quick Look'un önizlemesi, WebKit ile HTML ve SVG'yi oluşturur ve uzak kaynaklarını yükler; böylece, ekli bir "raporda" Space tuşuna tek bir basış, gönderene dosyaya, ne zaman ve hangi IP adresinden bakıldığını bildirir. Bu, e-posta izleme piksellerinin kullandığı ve Apple'ın Posta Gizliliğinin Korunması'sinin Mail'de köreltilmek üzere var olduğu bir web işaretçisi hilesidir; aynı içerik bir dosya olarak geldiğinde bu kapsam dışındadır. Saldırgan açısından bu, uzlaşma değil keşiftir: GÖNYE ATT&CK T1598, gerçek bir saldırı öncesinde bu tür bilgi toplama işlemlerini kataloglar.
Bu testin sınırları
- Bir macOS sürümü (26.7) ve vaka başına bir çalıştırma. Davranış diğer sürümlerde farklılık gösterebilir; kendi cihazınızda yeniden çalıştırın, ihtiyacınız olan tek şey yukarıdaki dosyalardır.
- Geridöngü adresi kullandık. Genel bir URL, WebKit için de aynı şekilde davranır, ancak bunu burada ölçmedik.
- HTML ve SVG'yi test ettik. Uzak referanslara sahip diğer türler (örneğin
.webarchive, bağlantılı resimlere sahip Office belgeleri veya üçüncü taraf Hızlı Bakış uzantıları) test edilmemiştir ve her iki yönde de farklı davranabilir. qlmanage -p, Apple'ın önizleme için hata ayıklama ön ucudur; Finder'ın Boşluk çubuğu önizlemesi aynı çerçeveyi kullanıyor ancak Finder'ın kendisini araçlandırmadık.
Ne yapalım
- Güvenilmeyen bir HTML veya SVG dosyasındaki Hızlı Bakış'ı, onu açıyormuş gibi değerlendirin. Birini güvenli bir şekilde incelemek istiyorsanız, bunu metin olarak okuyun:
cat file.htmlveya düz metin düzenleyicide açın. - Önizlemeden önce dosyanın türünü kontrol edin:
mdls -name kMDItemContentType file, simgesi ne önerirse önersin, Quick Look'un onu nasıl oluşturacağını size söyler. - Bağlantının olup olmadığını değil, hangi sürecin bağlantı kurduğunu izleyin. Burada Apple adına hareket eden WebKit önizlemesi vardı; bu nedenle yalnızca "yüklediğiniz uygulamalara" güvenen veya güvenmeyen kurallar bunu gözden kaçırıyor.
Daha geniş ders yöntemle ilgilidir. Bu hikayenin dramatik versiyonu güvenle yazılmıştı ve yayınlanması kolay olurdu. Bir dinleyici ve dört komutla geçen yirmi dakika, nerede yanlış olduğunu ve gerçek, daha küçük riskin nerede olduğunu gösterdi.
FireAI ve HisnLabs burada nereye oturuyor
The fetch in this test came from a WebKit preview running on Apple’s behalf, not from an app you installed, which is exactly the kind of connection a per-app firewall exists to show you: FireAI lists the process, the destination and the country, and lets you deny it.
FireAI, HisnLabs’in kendi ürünüdür: doğrudan Mac’inizde çalışan, yapay zekâ destekli bir güvenlik duvarı. Uygulamalarınızın kurduğu her bağlantıyı sade bir dille gösterir ve Mac’inizden neyin çıkacağına sizin karar vermenizi sağlar — yapay zekâsı yerel olarak çalışır, yani trafiğiniz asla bize ya da başka birine gönderilmez. HisnLabs güvenlik araştırma ekibi bu kararların isabetli kalmasını sağlayan ekiptir: hangi alan adlarının sıradan telemetri, hangilerinin gerçek bir hizmet olduğunu kataloglar, bir bağlantının ardındaki ülkeyi ve ağı izler ve cihaz üzerindeki modeli (Autopilot özelliği) gerçek trafik örüntüleriyle eğitir — üstelik bunların hiçbiri Mac’inizden dışarı çıkmadan.
Arkasındaki teknik kararları okuyabilir ya da FireAI’yi 17 gün boyunca deneyebilirsiniz: HisnLabs’ten FireAI.