Mac gevoeliger voor MetaSploit
Gepubliceerd: Vrijdag 20 maart 2009
Auteur: Michiel van Blommestein
De hacker die Safari afgelopen week in twee minuten kraakte, is bezig zijn expertise toe te voegen aan een bekende toolkit voor hackers en penetratietesters. Dat pakket wordt zo in een klap een stuk beter in het aanvallen van Mac-systemen.
Hacker Charlie Miller gaat samen met collega Dino Dai Zovi verbeteringen doorvoeren aan MetaSploit, een open source aanvalskit die zowel door black- als door whitehats veel wordt gebruikt om in systemen te komen. MetaSploit kan weliswaar al aanvallen uitvoeren op Macs, maar de functies zijn lang niet zo uitgebreid als die voor Windows en Linux.
Miller kraakte afgelopen week Apple's browser Safari binnen enkele seconden tijdens de PWN2OWN-wedstrijd op de CanSecWest-conferentie. Daarbij maakte hij gebruik van een totnogtoe onbekend lek, iets dat voorlopig zo blijft omdat de wedstrijdregels het verbieden om in het openbaar te treden met gebruikte exploits. Een jaar eerder was hij al succesvol op een Macbook Air.
De twee lieten zien wat voor payloads ze mogelijk maken met MetaSploit. Zo is er 'Pic the Vic', een tool waarmee een gebruiker nietsvermoedend wordt gekiekt door de ingebouwde webcam op een Mac-computer. Serieuzer is Meterpreter, een Windows-tool die ze beschikbaar maken voor Apple-systemen. Daarmee wordt informatie van een systeem gehaald, en andere malware naar binnen geloodst. Om de payloads te doen werken hebben de twee exploits voor Apple-software. Ze zijn gebaseerd op reeds gepatchte bugs, zodat het risico dat 0-day-code op straat komt te liggen wordt vermeden.
Miller en Dai Zovi willen aantonen dat ook het Mac-platform ernstige beveiligingsproblemen kent, ondanks dat het nog niet te kampen heeft met aanvallen zoals Windows die ondergaat. Veilig willen de twee het Mac-platform niet noemen. "Er is een verschil tussen gebrek aan gevaar en veilig", zegt Dai Zovi tegenover de nieuwsdienst van IDG. "Neem bijvoorbeeld een deur. Als je hem niet op slot doet, dan hoeft dat niet direct te betekenen dat je het gevaar over jezelf afroept. Maar veilig is het niet."
Bron: Techworld
