یک پژوهش‌گر امنیتی که سال گذشته ۱۰ ویژگی جدید حریم خصوصی macOS را دور زده بود، بار دیگر روشی یافته است که با انجام کلیکهای مجازی (Synthetic Clicks) از طرف کاربران بدون نیاز به تعامل با آن‌ها هشدارهای امنیتی را دور می‌زند. در ماه ژوئن سال گذشته، اپل یک ویژگی امنیتی هسته‌ای در macOS معرفی کرد که گرفتن مجوز از کاربران قبل از دسترسی به اطلاعات یا مؤلفه‌های حساس در سیستم ازجمله دوربین یا میکروفن دستگاه، اطلاعات مکانی، پیام‌ها و تاریخچه‌ی مرور را برای همه‌ی برنامه‌ها اجباری می‌کرد.
برای کسانی که آگاهی ندارند، کلیکهای مجازی، کلیکهای ماوس برنامه‌ریزی‌شده و غیرقابل رویت هستند که به جای انسان توسط یک برنامه‌ی نرم‌افزاری ایجاد می‌شود. خود macOS نیز قابلیتی برای کلیکهای مجازی ایجاد کرده است، اما این قابلیت تنها به‌عنوان یک ویژگی دسترسی برای افراد ناتوان است تا با رابط سیستم به روش‌های غیرسنتی تعامل برقرار کنند. بنابراین، این ویژگی تنها برای برنامه‌های تأییدشده‌ی اپل در دسترس است و از سوء‌استفاده‌ی برنامه‌های مخرب از این کلیکهای برنامه‌ریزی‌شده جلوگیری می‌کند.
بااین‌حال، پاتریک واردِل، یکی از پژوهش‌گران امنیتی، در آن زمان یک آسیب‌پذیری بحرانی در macOS یافت که به برنامه‌های مخرب نصب‌شده در یک سیستم هدف اجازه می‌داد تا به‌طور مجازی و بدون تعامل و رضایت کاربر روی کلیدهای امنیتی کلیک کند. اگرچه اپل این مسأله را چند هفته پس از افشای عمومی آن وصله کرد، اما واردِل مجدداً یک روش جدید را به‌طور عمومی منتشر کرد که به برنامه‌ها اجازه می‌داد تا برای دسترسی به داده‌ی خصوصی کاربر بدون اجازه‌ی آن‌ها کلیکهای مجازی را انجام دهند.
واردِل بیان کرد که در روشی که macOS یکپارچگی برنامه‌های فهرست سفید را بررسی می‌کند، یک آسیب‌پذیری اعتبارسنجی وجود دارد. این سیستم عامل وجود گواهی‌نامه‌ی دیجیتال یک برنامه را بررسی می‌کند اما درصورتی‌که برنامه دست‌کاری شده باشد موفق به اعتبارسنجی نمی‌شود.
سیستم تلاش می‌کند تا برنامه‌های مجاز فهرست سفید را اعتبارسنجی و تأیید کند، اما در فرآیند بررسی آن‌ها آسیب‌پذیری وجود دارد، به این معنا که یک مهاجم می‌تواند هر یک از آن‌ها را دست‌کاری و خراب کند و برای انجام کلیکهای مجازی دلخواه، کد تزریق کند. مهاجم می‌تواند یکی از برنامه‌های فهرست سفید را به سیستم انتقال دهد و برای انجام کلیکهای مجازی آن را در پس‌زمینه به اجرا درآورد.
واردِل از آسیب‌پذیری کلیکهای مجازی به‌عنوان یک حمله‌ی مرحله‌ی دوم یاد کرد، به این معنا که یک مهاجم نیاز به دسترسی از راه دور یک رایانه‌ی macOS قربانی یا نصب یک برنامه‌ی مخرب خواهد داشت. وی یافته‌های خود را به اپل گزارش داد و این شرکت تأیید کرد که گزارش او را دریافت کرده است، اما مشخص نکرده است که چه زمانی این مسأله را وصله خواهد کرد.
