Sicherheitsforscher haben eine Schwachstelle im Apple-Betriebssystem macOS entdeckt. Sie ermöglicht es, den Code bereits installierter und verifizierter Anwendungen unbemerkt auszutauschen.
Die Experten Talal Haj Bakry und Tommy Mysk demonstrierten, dass der Sicherheitsmechanismus Gatekeeper unter bestimmten Voraussetzungen versagt. Betroffen sind Apps, die außerhalb des offiziellen Mac App Store bezogen wurden.
Lücke in der Integritätsprüfung
Der Kern der Entdeckung liegt im Verhalten von Gatekeeper. Dieses Sicherheitssystem prüft Anwendungen üblicherweise beim ersten Start nach dem Download auf ihre Integrität und Signatur. Die Forscher stellten jedoch fest: Diese Prüfung wird nicht erneut ausgelöst, wenn eine bereits gestartete Anwendung archiviert, gelöscht und anschließend aus dem Archiv wiederhergestellt wird.
In diesem Szenario kann die ausführbare Datei innerhalb des App-Bundles gegen eine schadhafte Version ausgetauscht werden. Da das System die App bereits als vertrauenswürdig eingestuft hat, unterbleibt eine erneute Verifizierung. Betroffen sind aktuelle Versionen wie macOS 26 Tahoe sowie die Beta von macOS 27 Golden Gate. Vermutlich weisen auch ältere Betriebssystemversionen dieses Verhalten auf.
Erfolgreiche Demonstration an populären Apps
Die Forscher untermauerten ihre Ergebnisse mit einem Proof-of-Concept. Dabei gelang es ihnen, den Code bekannter Anwendungen zu manipulieren – darunter der Browser Brave, der Messenger Signal sowie BBEdit und Slack.
Während Sicherheitslücken in Programmen oft unbemerkt bleiben, können Sie die Sicherheit Ihres Systems durch die richtigen Grundeinstellungen massiv erhöhen. Dieser kostenlose Ratgeber enthüllt die wichtigsten Konfigurationen, die kaum ein Nutzer beim Start seines Apple-Computers kennt. Wichtige Mac-Einstellungen jetzt gratis entdecken
Der Angriff erfordert, dass ein Angreifer bereits über Benutzerrechte auf dem Zielsystem verfügt. Die Manipulation erfolgt durch das Sichern der App als Zip- oder Tar-Archiv, den Austausch der Hauptdatei und die anschließende Wiederherstellung.
Das Risiko: manipulierte Anwendungen genießen weiterhin die Berechtigungen und das Vertrauen der ursprünglichen App. Bei Systemabfragen für den Zugriff auf Kamera, Mikrofon oder Dateien werden dem Nutzer weiterhin der korrekte Name und das Original-Icon angezeigt – während im Hintergrund schädlicher Code läuft.
Apple stuft Verhalten nicht als Sicherheits lücke ein
Apple wurde über die Erkenntnisse bereits Anfang Juni informiert. Das Unternehmen schloss den Fall jedoch Mitte Juli mit der Begründung ab, dass es sich hierbei nicht um eine Sicherheitslücke handle. Die Argumentation: Gatekeeper sei primär für die Prüfung beim ersten Ausführen nach dem Herunterladen konzipiert.
Sicherheitsexperten kritisieren diese Einschätzung. Sie weisen darauf hin, dass Angreifer das bestehende Vertrauensverhältnis zwischen Nutzer und installierter Software gezielt ausnutzen können. Apps aus dem Mac App Store sind von dieser spezifischen Problematik nicht betroffen, da sie einer anderen Signaturprüfung unterliegen.
Empfehlungen für professionelle Anwender
Da seitens des Herstellers derzeit kein Patch geplant zu sein scheint, raten Fachleute zur erhöhten Vorsicht bei der Installation von Software aus Drittquellen. Zur manuellen Überprüfung der Integrität von Anwendungen kann das Tool Apparency genutzt werden. Es liefert detaillierte Informationen über die Signatur und den Status einer App.
Um Ihren Mac im Alltag nicht nur sicherer, sondern auch effizienter zu bedienen, helfen oft einfache Kniffe direkt über die Tastatur. Ein Apple-Experte hat die 19 nützlichsten Shortcuts zusammengestellt, mit denen Sie sofort flüssiger und entspannter an Ihrem Gerät arbeiten. Kostenlosen PDF-Report mit den 19 besten Mac-Shortcuts sichern
Flankierend zu diesen Erkenntnissen berichten Sicherheitsdienstleister über weitere Bedrohungen für macOS-Nutzer. So nutzt die nordkoreanische Gruppe BlueNoroff gefälschte Videokonferenz-Einladungen, um Schadsoftware einzuschleusen. Diese zielt gezielt auf Krypto-Wallets und Systeminformationen ab. Die Entwicklungen unterstreichen die wachsende Bedeutung von Endpunkt-Sicherheit auch in professionellen macOS-Umgebungen.
