Специалисты Jamf Threat Labs обнаружили новый троян CloudSyncD для macOS, который маскируется под установщик приложения Zoom. Вредоносное ПО распространяется через фишинговые сайты. Злоумышленники убеждают пользователей отключить встроенную систему безопасности Gatekeeper, следуя фальшивым инструкциям по установке.
В процессе установки программа запрашивает у пользователя пароль администратора. Если пароль введен верно, троян сохраняет его в замаскированный конфигурационный файл, используя скрытые символы Unicode. Это позволяет вредоносному ПО получить права администратора и закрепиться в системе через скрытый бэкдор.
После активации CloudSyncD каждые 8–16 секунд отправляет запросы на сервер злоумышленников для получения новых команд. Атакующие могут удаленно загружать на скомпрометированное устройство исполняемые файлы или архивы, что открывает возможности для установки дополнительных инструментов для взлома.
Эксперты рекомендуют загружать программы только из официального магазина App Store. Пользователям следует проявлять бдительность: большинство легитимных приложений для macOS не требуют ввода пароля администратора при установке. Ввод данных в ответ на сомнительные инструкции значительно повышает риск заражения системы.
