(In OSX) Potrebbe essere possibile per un utente malintenzionato aggiungere l'applicazione in un gestore di password (versione illegale crackata, scaricata da un sito Web pirata), istruzioni per fare in modo che il programma invii le credenziali sulla rete ?
1) Quando un cracker rompe un'app (contesto OSX), interrompe il certificato del codice (anche se non vi allega alcun software dannoso e lo spacca), quindi in pratica quando si tenta di installare, il all'utente verrebbe comunque richiesto il messaggio "Are you sure you want to open? it comes from an unknown developer" . -> Non c'è modo per l'utente (durante il processo di installazione) di rilevare qualcosa del genere, giusto? Naturalmente in seguito può essere rilevato a livello di rete con qualcosa come LittleSnitch.
2) Inoltre, come si può realizzare qualcosa del genere? È sufficiente aggiungere le istruzioni di assemblaggio richieste con IDA Pro, ad esempio? Un programma del genere ha sistemi di sicurezza che impediscono la modifica del flusso di controllo? Se sì, possono essere aggirati?
3) Esiste un precedente nella cronologia di Infosec? Anche se non è stato applicato al software di gestione password, è mai successo che un'app incrinata portasse il codice dannoso per "sé"? Ovviamente è risaputo che le app incrinate (specialmente su Windows) trasportano virus, ma esiste un precedente di un'app creata che fa qualcosa di male in relazione alla sua destinazione d'uso (per esempio, l'invio di una password memorizzata da solo)?
P.S. Con l'app di gestione password mi riferisco alle versioni desktop di 1Password o OneSafe, ecc. (L'app lato server o le estensioni del browser sono qualcosa di diverso penso)
Grazie come sempre