Новый вредоносный установщик для macOS, замаскированный под клиент Zoom, начал распространяться 15 сентября 2026 года. Первые образцы выглядели незаконченными: разработка ещё шла. Спустя два дня появились сборки той же семьи, настроенные на работающие серверы управления сразу в двух доменах. Это значит, что авторы перешли от тестирования к развёртыванию.
Описание
Угроза, получившая название CloudSyncD, состоит из двух этапов. Оба собраны на одной кодовой базе. Первый этап выманивает у пользователя пароль администратора через поддельное окно авторизации. Второй этап спрятан внутри первого и отдельно не загружается. Внешне поведение напоминает программу для кражи данных, однако пароль нигде не записывается и никуда не отправляется, а функций сбора сведений из браузеров, системного хранилища паролей или криптокошельков в коде нет.
По данным Jamf Threat Labs, зараза приходит в виде образа диска, который монтируется под именем Zoom и выглядит как обычный установщик для Mac: слева значок приложения, справа - ярлык папки с программами. Отличие одно - фоновая картинка. На ней пронумерованная инструкция: открыть системные настройки, перейти в раздел конфиденциальности и безопасности, найти пункт о безопасности, нажать кнопку открытия и ввести пароль администратора.
Фактически это подсказка, как обойти Gatekeeper - встроенный механизм Apple, который блокирует запуск неподписанных приложений. Сборка подписана недействительным сертификатом, поэтому при двойном щелчке система откажется её открывать, и картинка подробно объясняет, как снять запрет вручную.
После запуска установщик показывает окно с просьбой ввести пароль и не двигается дальше, пока введённые данные не совпадут с учётной записью. Проверка идёт через системную утилиту. Затем появляется поддельное окно загрузки Zoom, прогресс в котором движется сам по себе, без какой-либо загрузки. Введённый пароль попадает в файл, замаскированный под обычные настройки приложения: тема оформления, язык, уведомления. Сам пароль закодирован и спрятан внутри длинной строки случайных символов, а границы нужного фрагмента заданы невидимыми символами в соседнем поле версии. Длина случайного заполнения каждый раз разная, поэтому вычислить положение пароля по одному шаблону невозможно.
Второй этап установщик не скачивает - он носит его внутри себя, размером около 750 килобайт. Сначала вредоносная программа пытается запустить его напрямую из памяти, чтобы не оставлять следов на диске, но на большинстве систем это не срабатывает из-за встроенной защиты целостности системы. Тогда применяется запасной путь: файл временно записывается на диск и запускается с правами администратора с использованием добытого пароля. Дополнительно установщик собирает во время работы короткий сценарий для командной оболочки. Сценарий ждёт пару секунд, удаляет исходное приложение, ставит на его место подменённую сборку и открывает её, чтобы жертва видела обычный запуск. После этого сценарий стирает себя. Обе части угрозы принимают любой предъявленный сертификат сервера, то есть полностью доверяют собеседнику.
Второй этап рассчитан на работу из скрытого каталога в домашней папке пользователя. Имя службы и имя процесса совпадают с названием легитимной фоновой синхронизации, поэтому в списке процессов она не выглядит чужеродной. Все события записываются в журнал в зашифрованном виде. Связь с сервером управления поддерживается постоянными короткими запросами каждые 8-16 секунд; адрес маскируется под обычный сценарий, который сайты загружают для оформления страниц.
Управление построено на обмене сообщениями. Вредоносная программа отправляет сведения о заражённой машине и ждёт ответа. Если задания нет, сеанс считается обычной проверкой связи. Если задание есть, оно приходит как готовая программа или архив и исполняется на месте. Команды оболочки для этого не нужны - сторонний наблюдатель увидит новый исполняемый файл, а не подозрительную активность терминала. Первое сообщение содержит модель компьютера, версию системы, объём памяти, имя пользователя и сетевой адрес; его размер чуть меньше двух килобайт. Закрепление в системе, то есть автозапуск после перезагрузки, в ходе испытаний не сработало.
Первую сборку выдавали признаки незавершённой работы: адрес сервера управления из внутренней сети, тестовый ключ шифрования, пустая ссылка на загрузку и подробные отладочные записи. Пути кражи пароля и запуска с повышенными правами при этом работали. Через двое суток появились сборки с реальными адресами. Оба домена зарегистрированы ещё в 2011 году через один и тот же регистратор и спрятаны за сервисом защиты от атак; на момент публикации отчёта ни один антивирус их не помечал.
Для владельцев Mac вывод простой. Не вводите пароль администратора по просьбе программы, которую вы только что скачали, даже если она выглядит как привычное приложение. Скачивайте клиенты только с официальных сайтов разработчиков. Держите систему и встроенные средства защиты обновлёнными. Организациям стоит ограничить право сотрудников устанавливать программы самостоятельно и следить за появлением посторонних элементов автозапуска. Вредоносное ПО для macOS всё чаще пишут нативно, оно шифрует свои строки и старается не оставлять файлов на диске, но по-прежнему полагается на самый старый приём - просьбу сообщить пароль.
Индикаторы компрометации
