Фалшив инсталатор на Zoom подмамва потребители на Mac да инсталират новия заден вход CloudSyncD

Фалшив инсталационен файл на Zoom подмамва потребителите на Mac да предадат паролите си за вход и да стартират CloudSyncD – новоидентифициран backdoor.

Зловредният софтуер се крие в приложение, което изглежда познато, като използва инструкции за инсталация и фалшиви подкани, за да превърне рутинната настройка в привилегирована инфекция.

Първият образец се появи на 15 септември 2026 г., докато все още беше в процес на разработка. В рамките на два дни изследователите откриха свързани компилации, сочещи към достъпни командни сървъри в два домейна, което подсказва за преминаване към разгръщане.

Докладът не установява броя на инфекциите, засегнатите организации или потвърдени последващи загуби. Изследователите от Jamf Threat Labs идентифицираха зловредния софтуер по време на рутинен мониторинг на изпълними файлове, качени във VirusTotal.

От Jamf съобщиха в доклад, споделен с Cyber Security News (CSN), че CloudSyncD използва два етапа, като backdoor-ът е вече вграден в инсталатора, вместо да се изтегля отделно.

Непосредственият риск е неоторизирано изпълнение с повишени привилегии и канал за допълнителни зловредни програми.

Впреки че примамката за парола прилича на софтуер за кражба на информация (information stealer), изследователите не откриха вградено събиране на записи от браузъра, елементи от keychain или портфейли за криптовалута, което го различава от скорошните кампании със зловреден софтуер MacSync, комбиниращи кражба с отдалечен достъп.

Фалшив инсталационен файл на Zoom подмамва потребителите на Mac

Дисковият образ представя познато инсталационно оформление, съчетаващо икона на приложение с пряк път към Applications. Неговият фон добавя инструкции стъпка по стъпка, насочващи потребителите към System Settings, след това Privacy & Security, където им се казва да изберат „Open Anyway“ и да въведат администраторската си парола.

Тези указания заобикалят Gatekeeper, тъй като приложението няма доверен подпис от разработчик. Подходът разчита на убеждаване, а не на експлойт на операционната система, напомняйки за фалшивите актуализации на софтуер за видеоконференции, които насърчават хората да заобиколят защитите, вярвайки, че завършват легитимна инсталация.

След стартиране фалшив диалогов прозорец за оторизация изисква паролата на потребителя. Инсталаторът проверява отговора спрямо локалния акаунт и повтаря подканата, докато автентификацията успее. Фалшив прозорец за напредъка на изтеглянето помага да се поддържа видът на нормален процес на настройка.

Прихванатата парола е скрита във наглед обикновен файл с настройки. Нейната base64-кодирана стойност се намира между случайни запълващи знаци, докато 48 невидими Unicode знака, добавени към полето за версия, идентифицират нейната позиция и дължина.

Докладът описва локално съхранение, но липсва предаване на паролата към атакуващите. Инсталаторът първо се опитва да стартира вградения си зловреден код, без да оставя конвенционален изпълним файл на диска.

Този опит е бил неуспешен по време на тестването поради защитите на macOS. След това той записва временно копие и използва прихванатата парола, за да стартира backdoor-а с повишени привилегии.

Backdoor очаква допълнителни зловредни кодове

CloudSyncD поддържа както Mac с Apple silicon, така и с Intel. При първи контакт той изпраща проучване на устройството, съдържащо подробности за хардуера, информация за операционната система, имена на акаунта и машината, както и мрежова информация.

Последващите проверки съдържат само хардуерния идентификатор, като при реалните компилации е наблюдаван трафик на всеки 8 до 16 секунди. Сървърът може да връща криптирани задачи, съдържащи изпълними програми, директно или в компресирани архиви.

Това се различава от конвенционален отдалечен шел (remote shell): изследователите очакват новостартирани бинарни файлове, а не произволни шел команди, което прави мониторинга на процесите изключително важен при разследване на подозрителна активност.

Неговите крайни точки имитират заявки за библиотека на JavaScript, помагайки на трафика да изглежда като обичайна уеб активност. И двата етапа приемат всеки представен сървърен сертификат. Споделените криптографски материали между анализираните компилации също дават възможност на защитниците да съпоставят образци и да декодират прихванатата комуникация.

Криптираните лог записи могат да разкрият сървъра, с който е установен контакт, идентификатора на устройството и историята на проверките. Изследователите отбелязват също, че валидацията на паролата разкрива предоставените данни за автентификация в аргументите на процеса, което създава полезна възможност за откриване.

Изследователите не са наблюдавали персистентност, пълна подмяна на приложение или доставяне на отдалечени задачи. За разлика от инфекциите с фалшиви CAPTCHA backdoor-и, които внедряват механизми за автостартиране, тестваните образци са останали в техните междинни локации.

Тези ограничения са от значение: наличните доказателства потвърждават работещ привилегирован backdoor, а не всяка планирана функция. Jamf препоръчва блокиране и докладване на подобни заплахи чрез защити за крайни точки и уеб защити.

За целите на разследването докладът акцентира върху криптирани логове на импланта, невидими знаци във файловете с настройки, шаблони на временен зловреден код и командни редове за валидация на пароли. Пълните индикатори от източника по-долу запазват тези детайли за търсене, без да добавят непубликувани хешове.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са умишлено обезвредени (напр. [.]), за да се предотврати случайно разрешаване на имена или създаване на хипервръзки. Възстановете оригиналния им вид само в рамките на контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашата SIEM система.