Prueba y análisis de GatekeeperBlockedRevoked - Guía de evaluación de Jamf Protect

Guía de evaluación de Jamf Protect

Solution

Application

Content Type

Documentación técnica

Utilities & Services

ft:locale

es-ES

Siga estos pasos para probar la analítica GatekeeperBlockedRevoked.

Warning:

Pruebe esta detección solo con una instantánea de máquina virtual.

Requirements

Descargue Proton desde la colección de malware de macOS de Objective-See en github (https://github.com/objective-see/Malware/raw/main/Proton.zip).

Abra el archivo descargado. Cuando el sistema se lo pida, introduzca la siguiente contraseña: infect3d.
Abra la carpeta siguiente: Proton/Proton.C.
Haga doble clic en Elmedia Player.dmg.
Arrastre el archivo Elmedia Player.app a su Escritorio.
Abra el archivo Elmedia Player.app en su Escritorio.
En la máquina virtual, confirme que aparece una ventana emergente de macOS que le pide que expulse el DMG.
Después de completar la simulación de la prueba, aparece una nueva alerta llamada GatekeeperBlockedRevoked en Jamf Protect Cloud.
Note:
En macOS 10.14 o anterior, aparecerá una entrada de XProtectDetection. En macOS 10.15 o posterior, aparecerá una entrada de GatekeeperBlockedRevoked. Esta alerta se activa porque la aplicación está firmada con un ID de desarrollador que ha sido revocado explícitamente por Apple.
Abra y revise la alerta GatekeeperBlockedRevoked. Los puntos de datos más interesantes al analizar esta alerta son los siguientes:
- Summary > Gatekeeper Event Details > Message: Proporciona información sobre qué aplicación fue bloqueada por Gatekeeper.
- Processes > Signing Info: Aporta datos sobre la información de firma de la aplicación:
En una situación real, la investigación de esta alerta empezaría por revisar la aplicación que fue bloqueada. Intente identificarla y consulta los campos signingInfo del proceso para determinar si está debidamente firmada por el desarrollador. Gatekeeper no siempre proporciona detalles exactos sobre por qué ha decidido bloquear una aplicación.
Si tomó una instantánea de la máquina virtual antes de completar este escenario de pruebas, el método de limpieza más sencillo consiste en revertir la instantánea. De lo contrario, elimine el archivo descargado y los contenidos extraídos del Mac virtual.