Ich fürchte die Dateien, auch wenn sie Geschenke bringen [Update_2]

Es wirkt wie ein schlechtes Déjà-vu: Kurz hintereinander taucht gleich zweimal zahnlose Schadsoftware für OS X auf, über die unter großem Aufschrei berichtet wird, direkt gefolgt von einer tatsächlich unangenehmen Lücke in Safari - das hatten wir 2004 schonmal und so ist es derzeit wieder: Während OSX/Inqtana.A, B und C auf einer längst gestopften Bluetooth-Lücke aufbauen, erwies sich OSX/Leap-A ebenfalls als zahmer Zeitgenosse, der sich -wenn überhaupt- lediglich über Bonjour-iChat im lokalen Netzwerk verbreiten kann und dafür diverse Nutzerinteraktion voraussetzt. Auch der Missbrauch des InputManagers-Verzeichnisses war letztlich nur eine Frage der Zeit, schon seit mindestens Juni 2005 kursierte die Blaupause in Form von mailHack, iChatHack und safariHack. Die immer noch standardmäßig eingeschaltete Öffnung von "sicheren" Dateien in Safari ist und bleibt dahingegen sträflich, doch dahinter liegt natürlich die tiefergehende Problematik (siehe dazu auch den Kommentar von jack), dass es noch immer möglich ist Programme oder eben Shell-Skripte z.B. als simple JPG oder MOV-Dateien zu tarnen (ebenso wie der Finder lässt sich auch Apple Mail von der Kostümierung austricksen; diese werden dort zwar auffällig nur als Icon dargestellt, aber ein Klick darauf löst bereits das Shell-Skript aus). Man darf gespannt sein, welche Lösung sich Apple für das Problem ausdenken wird, jeder Mac-Nutzer sollte sich unabhängig davon einmal mehr klar machen, was in der Windows-Welt seit Jahren in die Köpfe gehämmert wird: Dateien mit unklarem Ursprung sind grundsätzlich äußerst kritisch zu beäugen und nicht wahllos zu öffnen. Davon unabhängig sollte man auf Lebzeiten Safari das automatische Öffnen von Dateien untersagen und bis zu Apples Fix z.B. das Terminal aus /Applications/Dienstprogramme in einen beliebigen anderen Ordner verschieben (vor dem nächsten Apple Update allerdings wieder brav zurücklegen).
Update: Déjà-vu Nummer 2, Paranoid Android ist zurück in Version 1.3.
Update_2: John Gruber kommentiert: «This entire exploit falls under the same category as a number of other possible Trojan horse techniques where you make an application or script look like an innocuous file by giving it a custom icon and a non-application-looking name. Except in this case, it’s not a fake icon pasted on the file, but instead, a “real” icon that Launch Services applies based on the file name extension.[...] It boils down to this: you can’t safely double-click files from untrusted sources, and you never could. This is no different today on Mac OS X 10.4 than it was a decade ago on Mac OS 8 and 9.»