一位著名Mac系統黑客剛剛開發了一種新攻擊手段：可以在電腦提出是否允許程序獲取數據時自動點擊“允許”按鈕，從而幫助黑客展開更加深入的攻擊和滲透。

　　為了避免電腦中的秘密信息遭到黑客竊取，操作系統開發者采取了很多方式，其中之一就是引起電腦使用者的注意。當一款應用程序試圖訪問敏感數據或敏感功能時，系統就會讓用戶自己選擇“允許”還是“拒絕”，這相當于安排了一個檢查點，把惡意軟件拒之門外，讓無辜的程序得到想要的信息。

　　但美國國家安全局（NSA）前雇員、著名Mac黑客帕特里克·瓦爾德（Patrick Wardle）去年一直在考慮一個問題：如果某個惡意軟件能夠像人類一樣輕而易舉地點擊“允許”按鈕，會發生什么事情？

　　在上周日舉行的DefCon黑客大會上，瓦爾德計劃展示一組針對macOS系統的自動化攻擊，可以通過所謂的“合成點擊”（synthetic clicks）幫助惡意軟件繞過系統封鎖。這樣一來，一旦找到能夠入侵用戶設備的方法，黑客便可繞過安全層，從而獲取用戶的位置，竊取其聯系方式，甚至奪取操作系統最深層的內核，從而全面控制電腦。

　　“用戶界面是唯一一個故障點?！?目前擔任Digita Security安全研究員的瓦爾德說，“如果你有辦法合成與這些警告信息的互動，那就掌握了一種強大而通用的方法，可以繞過所有的安全機制?！?/P>

　　瓦爾德的攻擊方式并不會在用戶的電腦里面為黑客提供立足點，只是幫助黑客的惡意軟件在已經被感染的設備上滲透安全層。但瓦爾德表示，這仍然可以成為一種強大的工具，幫助技術高超的攻擊者悄無聲息地竊取更多數據，或者更加深入地控制他們已經通過木馬程序或其他技術入侵的電腦。

　　這都源自macOS本身包含一項功能，可以讓AppleScript等程序生成“合成點擊”，也就是由程序而非人類手指生成的鼠標點擊動作。這就能幫助殘疾人使用的工具實現各種功能。為了避免惡意軟件濫用這些程序化的點擊，蘋果在一些敏感情況下禁止使用該功能點擊“允許”按鈕。

　　但瓦爾德卻意外發現，macOS未能阻止該功能提取用戶聯系人、獲取日程表、閱讀經緯度信息。他的惡意軟件測試代碼可以像人類一樣輕而易舉通過點擊獲取權限。

　　值得注意的是，這種“合成點擊”過程仍然會被用戶看見，但瓦爾德指出，惡意軟件可以等到系統出現不活躍信號時再行動，從而避免被用戶發現。

　　蘋果并未對此置評。瓦爾德也承認，他并未在DefCon大會之前向蘋果披露此項研究的詳細信息。

責任編輯：韓希宇