Talal Haj Bakry et Tommy Mysk ont mis en évidence un cas particulier dans macOS : une application téléchargée depuis le web peut être modifiée puis relancée sans nouvelle alerte de Gatekeeper, le mécanisme chargé de vérifier les apps récupérées en dehors du Mac App Store. Leur démonstration porte sur des logiciels obtenus sur le site d’un éditeur, pas sur ceux installés via la boutique d’Apple.
Le point important, c’est que tout ne se produit pas lors d’un simple téléchargement. Selon leurs explications, l’app doit d’abord avoir été ouverte au moins une fois, puis placée dans une archive au format .tar, supprimée et enfin extraite à nouveau. Une fois cette séquence terminée, une version dont l’exécutable principal a été remplacé peut se lancer sans déclencher de nouvel avertissement.
Comment ce contournement fonctionne
D’après Talal Haj Bakry et Tommy Mysk, macOS continue alors de considérer l’application restaurée comme déjà approuvée, alors même que son binaire principal a changé. Dans leur billet, ils résument le risque ainsi :
“A vulnerability in macOS allows an attacker to silently replace the main executable of any application downloaded from the web without requiring elevated privileges. As a result, trusted applications can be made to execute attacker-controlled code without triggering security warnings when relaunched.”
Leur démonstration montre ensuite un cas concret : l’application modifiée demande l’accès aux fichiers et dossiers. Comme l’utilisateur croit interagir avec un logiciel légitime qu’il connaît déjà, il peut être plus enclin à accepter. Les chercheurs montrent aussi qu’après l’obtention de ces autorisations, l’app peut remettre son code d’origine, ce qui rend la manipulation moins visible.
Un scénario réel, mais avec des conditions strictes
Ce comportement ne suffit pas, à lui seul, à compromettre un Mac sain. Talal Haj Bakry et Tommy Mysk précisent qu’un attaquant doit déjà pouvoir exécuter du code dans la session de l’utilisateur, par exemple via une application malveillante ou un script téléchargé. On est donc face à un maillon supplémentaire dans une chaîne d’attaque, pas à une infection automatique.
Les chercheurs indiquent aussi qu’Apple ne considère pas ce cas comme un problème de sécurité, notamment parce qu’il demande plusieurs manipulations et qu’il repose en partie sur de l’ingénierie sociale. Leur proposition est simple : faire revérifier l’application extraite d’une archive comme s’il s’agissait d’une nouvelle installation.
Ce que ça change
Pour l’usage quotidien, le message est assez clair : les apps du Mac App Store ne sont pas concernées, tandis que les logiciels téléchargés directement sur le web reposent davantage sur la chaîne de confiance de macOS. Si une application a déjà été ouverte puis manipulée via une archive .tar, cette confiance peut persister plus longtemps que prévu.
Ce n’est pas une raison pour paniquer, mais c’est un rappel utile : sur un Mac où un script douteux ou un logiciel malveillant a déjà pu tourner, les applications téléchargées hors boutique méritent une vigilance supplémentaire. En pratique, l’archivage manuel et la restauration d’apps ne sont pas des gestes anodins dans ce contexte.