MacOS-gebruikers zijn eind augustus het doelwit geworden van een aanval waarbij er een zerodaylek werd gebruikt om systemen met een backdoor te infecteren, zo laat Google in een analyse weten. Ook iOS-gebruikers waren het doelwit. Apple kwam op 23 september met een beveiligingsupdate voor de aangevallen macOS-kwetsbaarheid, die wordt aangeduid als CVE-2021-30869.

De aanval was gericht tegen bezoekers van Hongkongse websites van een mediabedrijf en een pro-democratische politieke groepering. Aanvallers hadden deze websites gecompromitteerd en voorzien van twee iframes waarmee vanaf een server exploits voor iOS en macOS werden geladen. Het lukte Google niet om de volledige aanvalsketen voor iOS in handen te krijgen, behalve dat er gebruik werd gemaakt van een kwetsbaarheid in WebKit (CVE-2019-8506) waarvoor Apple op 25 maart 2019 al een update had uitgebracht. WebKit is de door Apple ontwikkelde browser-engine waar Safari en alle andere browsers op iOS gebruik van maken. Verdere details over andere gebruikte kwetsbaarheden en malware bij de iOS-aanval zijn echter onbekend.

Dat is niet het geval voor de zeroday-aanval op macOS-gebruikers, die Google wel in handen kreeg. De exploit van de aanvallers combineerde een kwetsbaarheid in WebKit met een beveiligingslek in de XNU-kernel van macOS. Voor het beveiligingslek in WebKit (CVE-2021-1789) had Apple op 5 januari van dit jaar een update uitgebracht. Het XNU-lek was echter een zeroday. Via deze kwetsbaarheid kan een malafide applicatie of een aanvaller die toegang tot het systeem heeft, code met kernelrechten uitvoeren en zo volledige controle over het systeem kan krijgen.

Via de aanval werd een backdoor geïnstalleerd waarmee het mogelijk is om besmette systemen te fingerprinten, schermopnames te maken, bestanden te downloaden en uploaden, terminal commando's uit te voeren, audio op te nemen en toetsaanslagen op te slaan. Google merkt op dat de aanval vanwege beveiligingsmaatregelen die Apple heeft toegevoegd aan Big Sur niet tegen deze macOS-versie werkte. In het geval van Mojave en Catalina waren gebruikers beschermd als ze de macOS-update van januari hadden geïnstalleerd.