enum qtn_flags { QTN_FLAG_DOWNLOAD = 0x0001, QTN_FLAG_SANDBOX = 0x0002, QTN_FLAG_HARD = 0x0004, QTN_FLAG_USER_APPROVED = 0x0040, };

#define qtn_proc_alloc _qtn_proc_alloc #define qtn_proc_apply_to_self _qtn_proc_apply_to_self #define qtn_proc_free _qtn_proc_free #define qtn_proc_init _qtn_proc_init #define qtn_proc_init_with_self _qtn_proc_init_with_self #define qtn_proc_set_flags _qtn_proc_set_flags #define qtn_file_alloc _qtn_file_alloc #define qtn_file_init_with_path _qtn_file_init_with_path #define qtn_file_free _qtn_file_free #define qtn_file_apply_to_path _qtn_file_apply_to_path #define qtn_file_set_flags _qtn_file_set_flags #define qtn_file_get_flags _qtn_file_get_flags #define qtn_proc_set_identifier _qtn_proc_set_identifier

typedef struct _qtn_proc *qtn_proc_t; typedef struct _qtn_file *qtn_file_t;

int qtn_proc_apply_to_self(qtn_proc_t); void qtn_proc_init(qtn_proc_t); int qtn_proc_init_with_self(qtn_proc_t); int qtn_proc_set_flags(qtn_proc_t, uint32_t flags); qtn_proc_t qtn_proc_alloc(); void qtn_proc_free(qtn_proc_t); qtn_file_t qtn_file_alloc(void); void qtn_file_free(qtn_file_t qf); int qtn_file_set_flags(qtn_file_t qf, uint32_t flags); uint32_t qtn_file_get_flags(qtn_file_t qf); int qtn_file_apply_to_path(qtn_file_t qf, const char *path); int qtn_file_init_with_path(qtn_file_t qf, const char path); int qtn_proc_set_identifier(qtn_proc_t qp, const char bundleid);

int main() {

qtn_proc_t qp = qtn_proc_alloc(); qtn_proc_set_identifier(qp, “xyz.hacktricks.qa”); qtn_proc_set_flags(qp, QTN_FLAG_DOWNLOAD | QTN_FLAG_USER_APPROVED); qtn_proc_apply_to_self(qp); qtn_proc_free(qp);

FILE *fp; fp = fopen(“thisisquarantined.txt”, “w+”); fprintf(fp, “Hello Quarantine\n”); fclose(fp);

return 0;

}

</details>

Y **elimina** ese atributo con:
```bash
xattr -d com.apple.quarantine portada.png
#You can also remove this attribute from every file with
find . -iname '*' -print0 | xargs -0 xattr -d com.apple.quarantine

Y encuentra todos los archivos en cuarentena con:

find / -exec ls -ld {} \; 2>/dev/null | grep -E "[x\-]@ " | awk '{printf $9; printf "\n"}' | xargs -I {} xattr -lv {} | grep "com.apple.quarantine"

La información de Quarantine también se almacena en una base de datos central gestionada por LaunchServices en ~/Library/Preferences/com.apple.LaunchServices.QuarantineEventsV2, lo que permite a la GUI obtener datos sobre el origen de los archivos. Además, esto puede ser sobrescrito por aplicaciones que quieran ocultar su origen. Además, esto se puede hacer desde las LaunchServices APIS.

libquarantine.dylib

Esta librería exporta varias funciones que permiten manipular los campos de atributos extendidos.

Las APIs qtn_file_* gestionan las políticas de quarantine de archivos, las APIs qtn_proc_* se aplican a procesos (archivos creados por el proceso). Las funciones no exportadas __qtn_syscall_quarantine* son las que aplican las políticas: llaman a mac_syscall con “Quarantine” como primer argumento, lo que envía las solicitudes a Quarantine.kext.

Quarantine.kext

La extensión del kernel solo está disponible a través de la caché del kernel en el sistema; sin embargo, puedes descargar el Kernel Debug Kit desde https://developer.apple.com/, que contendrá una versión simbolicada de la extensión.

Este Kext engancha vía MACF varias llamadas para interceptar todos los eventos del ciclo de vida de archivos: creación, apertura, renombrado, hard-linkning… incluso setxattr para impedir que establezca el atributo extendido com.apple.quarantine.

También usa un par de MIBs:

• security.mac.qtn.sandbox_enforce: Aplicar la política de Quarantine junto con Sandbox
• security.mac.qtn.user_approved_exec: Los procesos en Quarantine solo pueden ejecutar archivos aprobados

Provenance xattr (Ventura y posteriores)

macOS 13 Ventura introdujo un mecanismo de provenance separado que se popula la primera vez que se permite ejecutar una app en cuarentena. Se crean dos artefactos:

• El xattr com.apple.provenance en el directorio del bundle .app (valor binario de tamaño fijo que contiene una clave primaria y flags).
• Una fila en la tabla provenance_tracking dentro de la base de datos ExecPolicy en /var/db/SystemPolicyConfiguration/ExecPolicy/ que almacena el cdhash de la app y metadatos.

Uso práctico:

# Inspect provenance xattr (if present)
xattr -p com.apple.provenance /Applications/Some.app | hexdump -C

# Observe Gatekeeper/provenance events in real time
log stream --style syslog --predicate 'process == "syspolicyd"'

# Retrieve historical Gatekeeper decisions for a specific bundle
log show --last 2d --style syslog --predicate 'process == "syspolicyd" && eventMessage CONTAINS[cd] "GK scan"'

XProtect

XProtect es una función integrada de anti-malware en macOS. XProtect verifica cualquier aplicación cuando se lanza por primera vez o se modifica contra su base de datos de malware conocido y tipos de archivo no seguros. Cuando descargas un archivo a través de ciertas apps, como Safari, Mail o Messages, XProtect escanea automáticamente el archivo. Si coincide con algún malware conocido en su base de datos, XProtect impedirá que el archivo se ejecute y te alertará sobre la amenaza.

La base de datos de XProtect es actualizada regularmente por Apple con nuevas definiciones de malware, y estas actualizaciones se descargan e instalan automáticamente en tu Mac. Esto asegura que XProtect esté siempre actualizado con las últimas amenazas conocidas.

Sin embargo, vale la pena señalar que XProtect no es una solución antivirus completa. Solo comprueba una lista específica de amenazas conocidas y no realiza escaneo en tiempo real como la mayoría de los antivirus.

Puedes obtener información sobre la última actualización de XProtect ejecutando:

system_profiler SPInstallHistoryDataType 2>/dev/null | grep -A 4 "XProtectPlistConfigData" | tail -n 5

XProtect está ubicado en una ruta protegida por SIP en /Library/Apple/System/Library/CoreServices/XProtect.bundle y dentro del bundle puedes encontrar la información que usa XProtect:

• XProtect.bundle/Contents/Resources/LegacyEntitlementAllowlist.plist: Permite que código con esos cdhashes use legacy entitlements.
• XProtect.bundle/Contents/Resources/XProtect.meta.plist: Lista de plugins y extensiones que no se permiten cargar vía BundleID y TeamID o que indican una versión mínima.
• XProtect.bundle/Contents/Resources/XProtect.yara: Reglas Yara para detectar malware.
• XProtect.bundle/Contents/Resources/gk.db: Base de datos SQLite3 con hashes de aplicaciones bloqueadas y TeamIDs.

Ten en cuenta que hay otra App en /Library/Apple/System/Library/CoreServices/XProtect.app relacionada con XProtect que no está involucrada en el proceso de Gatekeeper.

XProtect Remediator: En macOS moderno, Apple incluye scanners on‑demand (XProtect Remediator) que se ejecutan periódicamente vía launchd para detectar y remediar familias de malware. Puedes observar estos escaneos en los unified logs:

log show --last 2h --predicate 'subsystem == "com.apple.XProtectFramework" || category CONTAINS "XProtect"' --style syslog

Not Gatekeeper

Caution

Note that Gatekeeper isn’t executed every time you execute an application, just AppleMobileFileIntegrity (AMFI) will only verify executable code signatures when you execute an app that has been already executed and verified by Gatekeeper.

Por lo tanto, antes era posible ejecutar una app para cachearla con Gatekeeper, luego modificar archivos no ejecutables de la aplicación (como Electron asar o archivos NIB) y si no existían otras protecciones, la aplicación se ejecutaba con las adiciones maliciosas.

Sin embargo, ahora esto no es posible porque macOS impide modificar archivos dentro de los bundles de las aplicaciones. Así que, si intentas el ataque Dirty NIB, verás que ya no es posible abusar de él porque después de ejecutar la app para cachearla con Gatekeeper, no podrás modificar el bundle. Y si cambias, por ejemplo, el nombre del directorio Contents a NotCon (como indica el exploit), y luego ejecutas el binario principal de la app para cachearlo con Gatekeeper, se producirá un error y no se ejecutará.

Gatekeeper Bypasses

Cualquier forma de evitar Gatekeeper (lograr que el usuario descargue algo y lo ejecute cuando Gatekeeper debería impedirlo) se considera una vulnerabilidad en macOS. Estos son algunos CVEs asignados a técnicas que permitieron bypasses de Gatekeeper en el pasado:

CVE-2021-1810

Se observó que si se usa Archive Utility para la extracción, los archivos con rutas que exceden los 886 caracteres no reciben el atributo extendido com.apple.quarantine. Esta situación permite inadvertidamente que esos archivos circunvalen los checks de seguridad de Gatekeeper.

Consulta el original report para más información.

CVE-2021-30990

Cuando una aplicación se crea con Automator, la información sobre lo que necesita para ejecutarse está dentro de application.app/Contents/document.wflow y no en el ejecutable. El ejecutable es simplemente un binario genérico de Automator llamado Automator Application Stub.

Por lo tanto, se podía hacer que application.app/Contents/MacOS/Automator\ Application\ Stub apuntara con un enlace simbólico a otro Automator Application Stub dentro del sistema y ejecutaría lo que está dentro de document.wflow (tu script) sin activar Gatekeeper porque el ejecutable real no tenía el xattr de quarantine.

Example os expected location: /System/Library/CoreServices/Automator\ Application\ Stub.app/Contents/MacOS/Automator\ Application\ Stub

Consulta el original report para más información.

CVE-2022-22616

En este bypass se creó un zip con una aplicación empezando a comprimir desde application.app/Contents en lugar de application.app. Por lo tanto, el atributo de quarantine se aplicó a todos los archivos de application.app/Contents pero no a application.app, que era lo que Gatekeeper revisaba, de modo que Gatekeeper fue bypassed porque cuando se activaba application.app no tenía el atributo de quarantine.

zip -r test.app/Contents test.zip

Consulta el original report para más información.

CVE-2022-32910

Aunque los componentes son diferentes, la explotación de esta vulnerabilidad es muy similar a la anterior. En este caso se generará un Apple Archive a partir de application.app/Contents, por lo que application.app no obtendrá el quarantine attr cuando se descomprima con Archive Utility.

aa archive -d test.app/Contents -o test.app.aar

Consulta el original report para más información.

CVE-2022-42821

La ACL writeextattr puede usarse para evitar que alguien escriba un atributo en un archivo:

touch /tmp/no-attr
chmod +a "everyone deny writeextattr" /tmp/no-attr
xattr -w attrname vale /tmp/no-attr
xattr: [Errno 13] Permission denied: '/tmp/no-attr'

Además, el formato de archivo AppleDouble copia un archivo incluyendo sus ACEs.

En el source code es posible ver que la representación en texto de la ACL almacenada dentro del xattr llamado com.apple.acl.text se va a establecer como ACL en el archivo descomprimido. Así que, si comprimiste una aplicación en un archivo zip con el formato de archivo AppleDouble con una ACL que impide que otros xattrs se escriban en ella… el quarantine xattr no se estableció en la aplicación:

chmod +a "everyone deny write,writeattr,writeextattr" /tmp/test
ditto -c -k test test.zip
python3 -m http.server
# Download the zip from the browser and decompress it, the file should be without a quarantine xattr

Consulta el original report para más información.

Ten en cuenta que esto también podría explotarse con AppleArchives:

mkdir app
touch app/test
chmod +a "everyone deny write,writeattr,writeextattr" app/test
aa archive -d app -o test.aar

CVE-2023-27943

Se descubrió que Google Chrome no establecía el atributo de cuarentena en los archivos descargados debido a algunos problemas internos de macOS.

CVE-2023-27951

Los formatos AppleDouble almacenan los atributos de un archivo en un archivo separado que comienza por ._; esto ayuda a copiar atributos de archivo entre máquinas macOS. Sin embargo, se observó que después de descomprimir un archivo AppleDouble, el archivo que comienza con ._ no recibía el atributo de cuarentena.

mkdir test
echo a > test/a
echo b > test/b
echo ._a > test/._a
aa archive -d test/ -o test.aar

# If you downloaded the resulting test.aar and decompress it, the file test/._a won't have a quarantitne attribute

Al poder crear un archivo que no tuviera el atributo de cuarentena establecido, era posible burlar Gatekeeper. El truco consistía en crear una aplicación DMG usando la convención de nombres AppleDouble (iniciándola con ._) y crear un archivo visible como un sym link hacia este archivo oculto sin el atributo de cuarentena.
Cuando se ejecuta el archivo DMG, al no tener un atributo de cuarentena, burlará Gatekeeper.

# Create an app bundle with the backdoor an call it app.app

echo "[+] creating disk image with app"
hdiutil create -srcfolder app.app app.dmg

echo "[+] creating directory and files"
mkdir
mkdir -p s/app
cp app.dmg s/app/._app.dmg
ln -s ._app.dmg s/app/app.dmg

echo "[+] compressing files"
aa archive -d s/ -o app.aar

[CVE-2023-41067]

Un Gatekeeper bypass corregido en macOS Sonoma 14.0 permitía que aplicaciones manipuladas se ejecutaran sin solicitar confirmación. Los detalles se divulgaron públicamente después del parche y el problema fue explotado activamente en el wild antes de la corrección. Asegúrese de que Sonoma 14.0 o posterior esté instalado.

[CVE-2024-27853]

Un Gatekeeper bypass en macOS 14.4 (lanzado en marzo de 2024) derivado del manejo de ZIPs maliciosos por libarchive permitía que apps evadieran la evaluación. Actualice a 14.4 o posterior donde Apple abordó el problema.

CVE-2024-44128

Un Automator Quick Action workflow incrustado en una app descargada podía dispararse sin la evaluación de Gatekeeper, porque los workflows se trataban como datos y eran ejecutados por el helper de Automator fuera de la ruta normal del aviso de notarización. Una .app manipulada que incluyera un Quick Action que ejecute un script de shell (p. ej., dentro de Contents/PlugIns/*.workflow/Contents/document.wflow) podría, por tanto, ejecutarse inmediatamente al iniciarse. Apple añadió un diálogo de consentimiento adicional y corrigió la ruta de evaluación en Ventura 13.7, Sonoma 14.7, y Sequoia 15.

Third‑party unarchivers mis‑propagating quarantine (2023–2024)

Varias vulnerabilidades en herramientas de extracción populares (p. ej., The Unarchiver) provocaron que archivos extraídos de archivos comprimidos no conservaran el xattr com.apple.quarantine, habilitando oportunidades de bypass de Gatekeeper. Confíe siempre en macOS Archive Utility o en herramientas parcheadas al probar, y valide los xattrs después de la extracción.

uchg (from this talk)

• Create a directory containing an app.
• Add uchg to the app.
• Compress the app to a tar.gz file.
• Send the tar.gz file to a victim.
• The victim opens the tar.gz file and runs the app.
• Gatekeeper does not check the app.

Prevent Quarantine xattr

En un paquete “.app”, si no se añade el xattr de cuarentena, al ejecutarlo Gatekeeper no se activará.

Referencias

• Apple Platform Security: About the security content of macOS Sonoma 14.4 (includes CVE-2024-27853) – https://support.apple.com/en-us/HT214084
• Eclectic Light: How macOS now tracks the provenance of apps – https://eclecticlight.co/2023/05/10/how-macos-now-tracks-the-provenance-of-apps/
• Apple: About the security content of macOS Sonoma 14.7 / Ventura 13.7 (CVE-2024-44128) – https://support.apple.com/en-us/121234
• MacRumors: macOS 15 Sequoia removes the Control‑click “Open” Gatekeeper bypass – https://www.macrumors.com/2024/06/11/macos-sequoia-removes-open-anyway/

Tip

Aprende y practica Hacking en AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprende y practica Hacking en GCP: HackTricks Training GCP Red Team Expert (GRTE) Aprende y practica Hacking en Azure: HackTricks Training Azure Red Team Expert (AzRTE)

Apoya a HackTricks

• Revisa los planes de suscripción!
• Únete al 💬 grupo de Discord o al grupo de telegram o síguenos en Twitter 🐦 @hacktricks_live.
• Comparte trucos de hacking enviando PRs a los HackTricks y HackTricks Cloud repositorios de github.