T1548.004: 带提示的提升执行

摘要

攻击者可能利用 <code>AuthorizationExecuteWithPrivileges</code> API 通过提示用户提供凭据来提升权限。(Citation: AppleDocs AuthorizationExecuteWithPrivileges) 此 API 的目的是为应用程序开发人员提供一种简单的方式以 root 权限执行操作，例如用于应用程序安装或更新。此 API 不验证请求 root 权限的程序是否来自信誉良好的来源，或是否已被恶意修改。 尽管此 API 已被弃用，但它在最新版本的 macOS 中仍完全可用。调用此 API 时，将提示用户输入其凭据，但不会对程序的来源或完整性进行检查。调用该 API 的程序还可能加载全局可写文件，这些文件可被修改以在提升的权限下执行恶意行为。 攻击者可能滥用 <code>AuthorizationExecuteWithPrivileges</code> 获得 root 权限，以便在受害者上安装恶意软件并安装持久化机制。(Citation: Death by 1000 installers; it's all broken!)(Citation: Carbon Black Shlayer Feb 2019)(Citation: OSX Coldroot RAT) 此技术可能与[伪装](https://attack.mitre.org/techniques/T1036)结合，诱骗用户向恶意代码授予提升的权限。(Citation: Death by 1000 installers; it's all broken!)(Citation: Carbon Black Shlayer Feb 2019) 此技术也已被证明可以通过修改机器上使用此 API 的合法程序来生效。(Citation: Death by 1000 installers; it's all broken!)