Talal Haj Bakry et Tommy Mysk ont détaillé un comportement de macOS qui permet, dans un scénario précis, de remplacer l’exécutable principal d’une application téléchargée sur le web sans demander de privilèges élevés et sans afficher de nouvelle alerte au prochain lancement. Leur démonstration vise les apps récupérées depuis le site d’un développeur, et non celles installées depuis le Mac App Store.
Le point clé est que l’application doit déjà avoir été ouverte au moins une fois. Ensuite, elle est archivée au format .tar, supprimée, puis restaurée à partir de cette archive. D’après Mysk.blog, une fois réextraite, l’app peut être relancée même si son exécutable principal a été remplacé, sans que Gatekeeper ne refasse sa vérification comme lors d’une première installation.
Comment le contournement fonctionne
Selon Talal Haj Bakry et Tommy Mysk, macOS continue ici de traiter l’application comme déjà approuvée. C’est ce qui ouvre la porte à une modification silencieuse de son binaire principal, alors même que l’utilisateur pense relancer une app de confiance.
« A vulnerability in macOS allows an attacker to silently replace the main executable of any application downloaded from the web without requiring elevated privileges. As a result, trusted applications can be made to execute attacker-controlled code without triggering security warnings when relaunched. »
Les chercheurs montrent aussi un cas d’usage concret : une application ainsi modifiée peut afficher une demande d’accès aux fichiers et dossiers. Comme la requête semble venir d’une app légitime, l’utilisateur peut être davantage tenté d’accepter. Une fois ces autorisations obtenues, la démonstration indique qu’il est possible de remettre ensuite le code d’origine, ce qui rend la manipulation moins visible.
Un risque réel, mais avec plusieurs conditions
Le scénario ne permet pas, à lui seul, d’infecter un Mac intact. D’après les chercheurs, l’attaquant doit déjà être capable d’exécuter du code dans la session de l’utilisateur, par exemple via un script téléchargé, une app malveillante ou un accès physique à la machine. Il s’agit donc d’un maillon supplémentaire dans une chaîne d’attaque, pas d’une compromission autonome.
Talal Haj Bakry et Tommy Mysk rapportent aussi qu’Apple ne considère pas ce comportement comme un problème de sécurité, notamment parce qu’il dépend d’une suite d’actions très spécifique et d’une part d’ingénierie sociale. Les deux chercheurs estiment malgré tout qu’une correction serait simple : faire traiter une application extraite d’une archive comme une nouvelle app devant être revérifiée.
Ce que ça change
Pour l’utilisateur, l’impact est surtout à surveiller avec les applications téléchargées hors du Mac App Store. Cela rappelle que la confiance accordée par macOS à une app peut survivre à certaines manipulations de fichiers, même après une restauration depuis une archive.
Le risque reste étroitement encadré, mais il devient plus parlant sur un Mac déjà exposé à un script douteux ou à un logiciel malveillant. En pratique, les apps du Mac App Store ne sont pas concernées par cette démonstration, et l’archivage manuel d’apps en .tar mérite davantage de prudence.
