セキュリティ研究者が2026年7月23日に、「macOS上の信頼されたアプリの実行ファイルを、セキュリティ警告なしで無断差し替えできてしまう問題」に関するレポートを公開しています。
中身を見てみましょう。
- 脅威の概要
すでにMac上で実行権限を得ているマルウェアや悪意あるスクリプトが、Webからダウンロードしてインストールした既存の正規アプリ（例: Signal、Slack、Brave、VS Code など）の中身（実行ファイル）を悪意のあるプログラムへ密かに差し替えることができます。
差し替え後も、macOSのセキュリティ機能（Gatekeeper等）による警告が出ずにアプリが正常起動してしまいます。 - 攻撃が成立する仕組み
通常、macOSでは一度起動したアプリの内部ファイルを改変しようとするとシステムによってブロックされます。
しかし、以下の手順を踏むことでその保護が迂回できてしまいます。- 既存アプリのアーカイブ化と復元
特定コマンドによって保護を解除します。
ユーザ権限で動作するマルウェアが、tar コマンド等を使って対象アプリ（例: Signal.app）を一度アーカイブ（圧縮）し、元ファイルを削除してから再度展開（復元）します。 - 実行ファイルの無断差し替え
警告なしで改変します。
復元処理を経ることでシステムの書き込み保護が外れ、アプリ内部の実行ファイル（/Contents/MacOS/ 配下）を悪意あるバイナリに差し替えても、エラーやパスワード要求が発生しなくなります。 - すり替えたアプリの再起動
差し替えたプログラムを起動しても、初回起動時の検証を行うセキュリティ機能（Gatekeeper）が再実行されないため、警告なしでそのまま実行されてしまいます。
- 既存アプリのアーカイブ化と復元
- 主なリスク：信頼されたアプリへの「なりすまし」
悪意あるプログラムに差し替えられた後も、ファイルやキーチェーンへアクセスする際にはmacOS標準の「アクセス許可ダイアログ」が表示されます。
しかし、ダイアログには「元の信頼できるアプリの名前とアイコン」が表示されるため、ユーザは「本物のアプリがファイルを開こうとしている」と勘違いして許可ボタンを押してしまう危険性（ソーシャルエンジニアリング被害）があります。 - 対象となる環境と制限
- 対象アプリ
Mac App Store以外から取得し、すでに1度以上起動したアプリ（Signal, Slack, VS Code, Brave, Xcodeなど） - 対象外アプリ
Mac App Store版アプリ（管理者権限 root 所有のため影響を受けない） - 影響OS
macOS Tahoe 26.0.0〜26.5.2、macOS Golden Gate 27 beta（過去バージョンも影響を受ける可能性大） - 前提条件
端末上でユーザ権限のコードがすでに実行できる状態であること
- 対象アプリ
実はこの脅威の対策は難しいことになってしまっています。
Appleとしては、「すでにマルウェアが動いている前提の攻撃であり、最終的にアクセスを許可するかどうかはユーザの判断（ダイアログ）に委ねられているため、修正を要するセキュリティ上の脆弱性とはみなさない」として対応を終了しています。
つまり現時点で根本対策することのできるものはなく、待っていてもそれは提供される期待ができないということになります。
利用者側では何ができるでしょうか。
対策として考えられるのは、OS側の修正パッチが提供されない可能性が高いため、操作していないタイミングで突然ファイルやカメラ、キーチェーンへのアクセス許可ポップアップが出た場合は、見慣れたアプリ名であっても安易に許可しないよう注意する、ということでしょうか。
OS側の保護を過信せず、予期せぬ権限要求には常に警戒することが大切ですね。
Silent Replacement of Trusted macOS App Executables
https://mysk.blog/2026/07/23/macos-overwrite-app-executables/
| この記事をシェア |
|
|---|
