Специалисты Jamf Threat Labs обнаружили вредоносную программу для Mac, которая выдаёт себя за установщик Zoom. Её назвали CloudSyncD. Нашли её при плановом мониторинге файлов на VirusTotal. Хитрость в том, что вредонос не взламывает защиту macOS — он уговаривает пользователя отключить её самостоятельно.

Как выглядит ловушка

CloudSyncD распространяется в виде образа диска, который монтируется как том с названием Zoom. Окно выглядит как обычный установщик Mac-программ: слева значок приложения, справа ярлык папки «Программы». Единственное, что выдаёт подделку, — фоновая картинка с пронумерованной инструкцией.

Инструкция предлагает открыть «Системные настройки», перейти в «Конфиденциальность и безопасность», нажать «Всё равно открыть» и ввести пароль администратора. Обычно macOS не даёт запустить приложение, которое Apple не проверила (не нотаризовала). Эти шаги как раз проводят пользователя в обход Gatekeeper.

Что происходит дальше

  • Установщик показывает поддельное окно авторизации и просит пароль администратора.
  • Он проверяет пароль по учётной записи Mac и повторяет запрос, пока пользователь не введёт его правильно.
  • Затем появляется фальшивое окно загрузки, чтобы всё выглядело как обычная установка.
  • Пароль не отправляется злоумышленникам, а прячется в поддельном файле настроек, похожем на конфигурацию Zoom; место отмечено невидимыми символами Юникода.
  • С помощью пароля вредонос запускает скрытый бэкдор внутри установщика.

Почему это работает

По данным Cult of Mac, macOS неплохо держит вредоносы на расстоянии: Gatekeeper, нотаризация и другие встроенные механизмы блокируют подозрительные программы до запуска. Поэтому злоумышленники всё чаще делают ставку на социальную инженерию — убеждают человека самому снять защиту. Zoom — удачная маскировка: программу часто ставят в спешке перед звонком.

Как защититься

  • Скачивайте программы только с официальных сайтов или из App Store. Zoom для Mac — с zoom.us.
  • Если установщик просит что-то отключить в настройках безопасности — это почти наверняка вредонос. Нормальным программам это не нужно.
  • Не вводите пароль администратора в окнах, которые появились сразу после запуска непонятного файла.
  • Обращайте внимание на инструкции внутри окна установщика. Легальные программы не рисуют пошаговые подсказки по обходу защиты на фоне.

Похожая история происходит и с поддельными страницами ChatGPT и предзаказа iPhone Duo: мошенники используют популярные бренды, чтобы человек сам скачал и запустил вредонос.

Источники: Cult of Mac, 9to5Mac.