Apple ha autorizzato l’accesso nel suo App Store ad un malware

Apple ha autorizzato l’accesso nel suo App Store ad un malware identificato con il nome di Shlayer, camuffato da programma di installazione di Adobe Flash e quindi eseguibile senza essere bloccato dal sistema di verifica delle app integrato nel Mac  chiamato “Gatekeeper“.

Di fatto se l’app è stata scaricata dall’App Store, per impostazione predefinita Gatekeeper ne consentirà l’installazione poiché tutti i software presenti all’interno dello Store di Apple sono sottoposti al processo di revisione del codice chiamato “Notarizatio“.

Notarization: l’autorizzazione di Apple

Il servizio notarile (Notarizatio) è un sistema automatizzato che esegue la scansione del software alla ricerca di contenuti dannosi, se non rileva problemi genera un ticket che allega al software e pubblica questo “biglietto” online dove Gatekeeper può trovarlo.

Alla prima esecuzione dell’app da installare, Gatekeeper verifica la presenza del ticket (online o allegato all’eseguibile) e se viene trovato il sistema procede con l’installazione.

Shlayer e un malware di tipo Trojan-Downloader tra i più diffusi sui Mac ed in circolazione da quasi un anno.

Del malware ne esistono diverse varianti, ma questa è la prima che ha utilizzato come mezzo di diffusione lo Store di Apple.

Apple ha autorizzato l’accesso nel suo App Store ad un malware

Purtroppo quello che è accaduto è proprio ciò che Apple non si aspettava e cioè che l’installer di Shlayer ha ricevuto la notarizzazione e ha potuto installarsi su tutte le versioni del sistema operativo di Apple senza nessun problema.

OSX.Shlayer conteneva al suo interno l’adware Bundlore che ha come obiettivo generalmente quello di installare varie estensioni del browser e mostrare alle vittime annunci pubblicitari.

A scoprire il problema sono stati due ricercatori Patrick Wardle e Peter Dantini informando Apple, che ha provveduto alla revoca della variante identificata, disabilitare l’account sviluppatore e a revocare i certificati associati.

Per i più curiosi è possibile approfondire e scaricare una versione del malware al seguente link.