Auf den Punkt: Forscher demonstrierten die Manipulation von macOS-Apps durch lokale Paketmanipulation, ohne dass Gatekeeper dies blockiert, doch Apple klassifiziert dies nicht als Sicherheitslücke.
Sicherheitsforscher haben demonstriert, wie sich von Internetquellen heruntergeladene macOS-Anwendungen ohne Administratorrechte manipulieren lassen. Apple bewertet dies nicht als Schwachstelle, da lokal erstellte App-Bundles außerhalb des Schutzbereichs von Gatekeeper fallen.
Die Forscher Talal Haj Bakry und Tommy Mysk zeigten eine Methode, bei der Hauptdateien vertrauenswürdiger macOS-Anwendungen ausgetauscht werden können – etwa von Slack, Signal oder dem Brave-Browser. Voraussetzung ist, dass die jeweilige App nach dem Download mindestens einmal gestartet wurde und der Angreifer bereits Befehle mit Nutzerrechten ausführen kann. Mittels tar-Befehlen lässt sich das App-Paket archivieren, das Original löschen und das Archiv neu entpacken. Danach fordert macOS bei erneuter Bearbeitung der Hauptdatei keine neue Authentifizierung an.
Nach dieser Manipulation startet die veränderte Anwendung ohne Gatekeeper-Warnhinweise. Zwar übernimmt die ausgetauschte Programmdatei nicht die ursprünglichen Berechtigungen und digitalen Signaturen, allerdings besteht ein Missbrauchsrisiko: Fordert die manipulierte App Zugriff auf geschützte Systembereiche wie den Schlüsselbund, den Desktop oder Dokumente an, zeigt macOS Name und Symbol der ursprünglichen, legitimen Anwendung an. Nutzer können dadurch täuscht werden, schädlichem Code Berechtigung zu erteilen.
Anwendungen aus dem offiziellen Mac App Store sind von der Methode nicht betroffen. Diese Dateien gehören dem Systembenutzer root und lassen sich nicht ohne erweiterte Administratorrechte überschreiben. Apple prüfte den Bericht und kam zu dem Ergebnis, dass kein Sicherheitsfehler vorliegt. Das Unternehmen verweist darauf, dass Gatekeeper primär Anwendungen vor dem ersten Start auf bekannte Schadsoftware und Modifikationen überprüft. Da die von den Forschern gezeigte Methode die bereits signierte Ausführungsdatei nicht direkt modifiziert, sondern ein lokales App-Bundle erzeugt, sieht Apple keinen Handlungsbedarf. Nach Apples Einschätzung werden lokal erstellte App-Bundles von macOS-Schutzfunktionen nicht abgedeckt – und Berechtigungsabfragen durch Social Engineering zu missbrauchen wird als außerhalb des Auswirkungsbereichs eingestuft.
Die Sicherheitsforscher empfehlen Nutzern dennoch erhöhte Vorsicht beim Ausführen von Skripten oder Anwendungen aus ungesicherten Quellen.
Quelle: www.it-daily.net · Erschienen 27. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.