Red Team | Subverting macOS Apps and Security Controls

Red Team | Subverting macOS Apps and Security Controls

par Carlos Garrido

Sciences appliquées & ingénierie Informatique & Cybersécurité URSécurité informatiqueURHFraude et piratage informatique
🎙 Carlos Garrido 👥 70K 📅 17 février 2026 ⏱ 36 min 👁 177 📄 conférence technique 🧭 2026-08-15
Disponible en : Français (actuel) English

Mots-clés

XPCTCCélévation de privilègesmacOSzero-day

Résumé

Cette conférence, présentée par Carlos Garrido lors du SANS Hack & Defend Summit 2025, explore les vulnérabilités zero-day dans les applications macOS et les mécanismes de sécurité de la plateforme. L’orateur commence par expliquer les fondamentaux de XPC, le mécanisme de communication inter-processus standard sur macOS, et son intégration avec Grand Central Dispatch et launchd. Il détaille ensuite plusieurs vulnérabilités réelles découvertes dans des applications tierces, notamment Acronis True Image, Epson Web Installer, Nimble Commander et CleanMyMac. Pour chaque vulnérabilité, il explique la cause racine, la méthode d’exploitation et l’impact. Il aborde notamment le contournement de TCC (Transparency, Consent, and Control) via des services XPC non sécurisés, l’exploitation de défauts dans le framework d’autorisation d’Apple, et une attaque par réutilisation de PID. L’orateur insiste sur l’importance de valider correctement les clients XPC et de ne pas se fier au PID. Il conclut par des recommandations et des ressources pour approfondir la recherche en sécurité macOS.

155 mots

Évaluation critique

Valeur des informations & solidité de l’argumentation

La valeur des informations est élevée : l’orateur présente des vulnérabilités réelles et démontre leur exploitation avec des preuves de concept. L’argumentation est solide, basée sur une analyse technique approfondie et des démonstrations en direct. Chaque vulnérabilité est expliquée en détail, de la cause racine à l’impact, ce qui renforce la crédibilité du contenu.

Rigueur scientifique, qualité des sources, adéquation du titre

La rigueur scientifique est bonne : l’orateur cite des mécanismes officiels d’Apple (TCC, XPC, Authorization Services) et des références à des chercheurs reconnus. Les sources sont principalement des démonstrations et des explications techniques, sans références bibliographiques formelles, mais la crédibilité est renforcée par l’expérience de l’orateur. L’adéquation titre/contenu est parfaite.

119 mots

Adéquation titre / contenu

Le titre correspond parfaitement au contenu : la conférence traite de la compromission d'applications macOS et du contournement des contrôles de sécurité via des vulnérabilités zero-day.

Qualité & fiabilité

8/10

Conférence technique présentée par un chercheur en sécurité reconnu, avec démonstrations pratiques et références à des mécanismes officiels d'Apple. Les vulnérabilités présentées sont plausibles et les techniques sont cohérentes avec les connaissances établies en sécurité macOS.

Moments clés

Repères établis par PSI à partir de la transcription : le créateur n'a pas défini de chapitres.

Sources citées

Sources concordantes

Apport & nouveautés

L’apport original de cette conférence réside dans la présentation de vulnérabilités zero-day réelles dans des applications macOS populaires, avec des démonstrations pratiques. L’orateur met en lumière des failles de conception dans l’implémentation de XPC et du framework d’autorisation, souvent dues à une mauvaise utilisation des API Apple. Il propose également des techniques de reverse engineering spécifiques à macOS et des stratégies d’exploitation en chaîne.

Pour aller plus loin :

130 mots

Profil radar

Le profil radar montre un contenu très technique avec une forte quantité d'informations et une fiabilité élevée, mais une accessibilité limitée pour un public non spécialisé. La note globale reflète un excellent contenu pour les experts en sécurité.

Fiabilité 8/10