Přestože jsou Macy obecně považovány za poměrně bezpečné počítače, ani jejich uživatelé se nejrůznějším podvodům a malwaru samozřejmě nevyhnou. Bezpečnostní experti z Jamf Threat Labs nyní upozornili na novou hrozbu označovanou jako CloudSyncD, která se maskuje jako instalátor populární aplikace Zoom. A zatímco podobných falešných instalátorů jsme už v minulosti viděli celou řadu, tento je zajímavý především způsobem, jakým se snaží obejít bezpečnostní ochranu Gatekeeper. Namísto hledání nějaké sofistikované chyby v macOS totiž útočníci jednoduše přesvědčí samotného uživatele, aby ochranu systému vypnul za ně.
CloudSyncD se na první pohled tváří jako naprosto běžný instalátor Zoomu pro Mac. Po otevření staženého obrazu disku se uživateli zobrazí okno s ikonou aplikace a zástupcem složky Aplikace, tedy něco, co uživatelé macOS dobře znají z instalace celé řady programů. Jenže škodlivá aplikace není řádně podepsaná ani notarizovaná, a Gatekeeper ji proto při běžném spuštění zablokuje. A právě zde přichází na řadu poměrně vychytralý trik útočníků.
Návod k instalaci je ve skutečnosti návodem k obejití ochrany
Na pozadí instalačního okna se totiž nachází číslovaný návod, který uživateli vysvětluje, co má udělat, pokud chce údajný Zoom nainstalovat. Instrukce jej navedou do Nastavení systému, následně do Soukromí a zabezpečení a nakonec k možnosti „Přesto otevřít“. Uživatel je poté vyzván také k zadání administrátorského hesla. Vše přitom působí jako běžný postup nutný pro dokončení instalace, ve skutečnosti však uživatel vlastníma rukama obchází Gatekeeper a povoluje spuštění aplikace, před kterou jej macOS jen o pár okamžiků dříve varoval.
Právě v tom je celý útok poměrně chytrý. CloudSyncD totiž nepotřebuje hledat bezpečnostní chybu, díky které by Gatekeeper technicky obešel. Využívá legitimní možnost macOS určenou pro případy, kdy uživatel skutečně důvěřuje aplikaci, kterou Apple nedokáže ověřit. Samotný Apple přitom u této možnosti výslovně upozorňuje, že by ji uživatelé měli využívat pouze tehdy, pokud mají jistotu, že software pochází z důvěryhodného zdroje.
Po zadání hesla jej falešný instalátor nejprve lokálně ověří a následně zobrazí falešný průběh stahování Zoomu, takže oběť nemusí mít důvod začít něco podezírat. CloudSyncD mezitím spustí svou druhou část a vytvoří na Macu backdoor, prostřednictvím kterého může komunikovat se serverem útočníků. Podle analýzy Jamfu dokáže mimo jiné zaznamenávat data zadávaná uživatelem, pravidelně odesílat informace útočníkům a přijímat příkazy ke vzdálenému spuštění dalšího kódu. Komunikace přitom může probíhat v intervalech pouhých několika sekund.
Zajímavé je, že samotné heslo z falešného autorizačního okna podle Jamfu není přímo odesíláno útočníkům. Malware jej namísto toho ukryje do zdánlivě nevinného konfiguračního souboru pomocí neviditelných Unicode znaků a následně jej využívá lokálně pro své další fungování. Bezpečnostní experti zároveň upozorňují, že CloudSyncD nemá vestavěné funkce pro automatické vysávání hesel z prohlížečů, Klíčenky nebo kryptoměnových peněženek. Vzhledem k možnosti vzdáleného spouštění příkazů však může útočník napadený Mac dále zneužívat.
Mohlo by vás zajímat
Zoom stahujte skutečně jen ze Zoomu
Obrana proti podobnému útoku je naštěstí relativně jednoduchá. Aplikace je ideální stahovat z Mac App Store nebo přímo z oficiálních webových stránek jejich vývojářů. V případě Zoomu nabízí jeho provozovatel vlastní Download Center a oficiální instalátor pro Macy s Apple Silicon i procesory Intel. Pokud vás naopak stažená aplikace okamžitě žádá, abyste kvůli jejímu spuštění zamířili do nastavení zabezpečení macOS a ručně obešli varování Gatekeeperu, měla by se vám v hlavě rozsvítit pořádně výrazná červená kontrolka.
CloudSyncD je totiž krásným příkladem toho, že útočníci nemusí vždy složitě prolamovat bezpečnostní mechanismy Applu. Někdy jim úplně stačí přesvědčit uživatele, aby ochranu svého Macu obešel sám. A pokud navíc celý postup schovají za na první pohled profesionálně vypadající instalaci známé aplikace, nemusí být vůbec složité jejich triku naletět.
