T1548.006: TCC 操纵

摘要

攻击者可以操纵或滥用透明度、同意和控制（TCC）服务或数据库，以向恶意可执行文件授予提升的权限。TCC 是一种 macOS 隐私与安全控制机制，用于确定正在运行的进程是否有权访问受 TCC 保护的数据或服务，例如屏幕共享、摄像头、麦克风或完整磁盘访问（FDA）。 当应用程序请求访问受 TCC 保护的数据或服务时，TCC 守护进程（`tccd`）会检查位于 `/Library/Application Support/com.apple.TCC/TCC.db`（以及 `~/` 等效位置）的 TCC 数据库，以及一个覆盖文件（如果连接到 MDM）以了解现有权限。如果权限不存在，则提示用户授予权限。一旦授予权限，数据库会存储应用程序的权限，并且不会再次提示用户，除非重置。例如，当 Web 浏览器请求访问用户网络摄像头的权限时，一旦授予，Web 浏览器可能不会再次明确提示用户。(Citation: welivesecurity TCC) 攻击者可能通过滥用先前通过[进程注入](https://attack.mitre.org/techniques/T1055)被授予权限的应用程序，或使用另一应用程序执行恶意二进制文件，来访问受 TCC 保护的受限数据或服务。例如，攻击者可以使用 Finder（一个具有 FDA 权限的 macOS 原生应用）来执行恶意 [AppleScript](https://attack.mitre.org/techniques/T1059/002)。当在 Finder 应用下执行时，恶意 [AppleScript](https://attack.mitre.org/techniques/T1059/002) 继承对系统上所有文件的访问权限，而无需用户提示。当系统完整性保护（SIP）被禁用时，TCC 保护也被禁用。对于未启用 SIP 的系统，攻击者可以通过使用环境变量和 [Launchctl](https://attack.mitre.org/techniques/T1569/001) 加载攻击者控制的 TCC 数据库，来操纵 TCC 数据库以向其恶意可执行文件添加权限。(Citation: TCC macOS bypass)(Citation: TCC Database)