Beveiligingsonderzoeker Patrick Wardle heeft een nieuwe aanval tegen macOS gedemonstreerd waarbij het openen van een Microsoft Office-document met een malafide macro volstond om een kwetsbaar systeem over te nemen. Apple heeft de kwetsbaarheid die Wardle gebruikte eerder dit jaar verholpen.

Wardle maakte voor zijn aanval gebruik van een probleem dat eind vorig jaar al aan het licht kwam. Een beveiligingsoptie in Office voor Mac die ervoor moet zorgen dat alle macro's worden geblokkeerd zorgde er juist voor dat een bepaald type macro zonder melding aan gebruikers automatisch werd uitgevoerd, waardoor een aanvaller op afstand het systeem had kunnen overnemen.

Het probleem deed zich voor bij SYLK-bestanden met XLM-macro's. Office 2011 voor Mac waarschuwt gebruikers niet bij het openen van SYLK-bestanden met XLM-macro's. Office 2016 en 2019 voor Mac waarschuwen wel voor het uitvoeren van XLM-macro's in SYLK-bestanden. Wanneer Office voor Mac echter is ingesteld met de optie "Disable all macros without notification", werden de XLM-macro's in SYLK bestanden automatisch uitgevoerd zonder gebruikers te waarschuwen. Dit probleem werd vorig jaar november door Microsoft gepatcht.

Een malafide macro die op deze manier zou worden uitgevoerd zou nog steeds binnen de Microsoft Office-sandbox draaien. Het was dan ook nodig om daar uit te breken, zo stelt Wardle in een blogpost waarin hij de aanval beschrijft. In 2018 had een andere onderzoeker al aangetoond hoe het mogelijk was om vanuit de Microsoft Office-sandbox een "launch agent" aan te maken. Deze launch agent zou bij een herstart van het systeem buiten de sandbox worden gestart en zo code van de aanvaller kunnen uitvoeren.

Microsoft kwam met een patch voor dit probleem, maar die bleek niet alle mogelijkheden voor een aanvaller te blokkeren. Wardle ontdekte dat hij een "login item" kon aanmaken, dat ook buiten de sandbox werd gestart. Via dit login item was het vervolgens mogelijk om een zip-bestand aan te roepen dat uiteindelijk een reverse shell uitvoerde. Zoals gezegd is de aanval op een up-to-date systeem niet meer mogelijk. Apple kwam op 28 januari met macOS 10.15.3 waarin het probleem dat Wardle gebruikte is verholpen. De onderzoeker geeft tijdens de Black Hat-conferentie vandaag een demonstratie van zijn aanval.