Embora os Macs sejam geralmente considerados computadores relativamente seguros, seus usuários não estão imunes a diversos golpes e malwares. Especialistas em segurança do Jamf Threat Labs alertaram sobre uma nova ameaça chamada CloudO SyncD se disfarça de instalador do popular aplicativo Zoom. Embora já tenhamos visto vários instaladores falsos semelhantes no passado, este é particularmente interessante pela forma como tenta burlar as proteções de segurança. GatekeeperEm vez de procurarem alguma falha sofisticada no macOS, os atacantes simplesmente convencem o usuário a desativar a proteção do sistema.
CloudÀ primeira vista, o SyncD parece um instalador Zoom completamente normal para Mac. Após abrir a imagem de disco baixada, o usuário se depara com uma janela contendo o ícone do aplicativo e um atalho para a pasta Aplicativos, algo familiar para usuários de macOS na instalação de diversos programas. No entanto, o aplicativo malicioso não possui assinatura digital ou autenticação válida, e Gatekeeper Portanto, ele bloqueia a inicialização normal. E é aí que entra em ação o truque bastante inteligente dos atacantes.
As instruções de instalação são, na verdade, instruções para burlar a proteção.
Na parte de trás da janela de instalação, há um guia numerado que explica ao usuário o que fazer para instalar o suposto Zoom. As instruções levam às Configurações do Sistema, depois a Privacidade e Segurança e, em seguida, a...oneMarque a opção "Abrir mesmo assim". O usuário também será solicitado a inserir um anúncio.minisenha. Tudo parece um procedimento normal necessário para concluir a instalação, mas na realidade o usuário está burlando-o por conta própria. Gatekeeper e permite que o aplicativo sobre o qual o macOS o havia alertado alguns instantes antes seja executado.
É aí que reside a grande inteligência por trás de todo o ataque. CloudO SyncD não precisa procurar por uma falha de segurança que possa Gatekeeper Tecnicamente, foi contornado. Ele usa uma opção legítima do macOS destinada a casos em que o usuário realmente confia no aplicativo que está usando. Apple Não pode verificar. Ele mesmo Apple No entanto, o texto adverte explicitamente que os usuários só devem usar essa opção se tiverem certeza de que o software provém de uma fonte confiável.
Após inserir a senha, o instalador falso primeiro a verifica localmente e, em seguida, exibe um falso progresso de download do Zoom, para que a vítima não tenha motivos para suspeitar de nada. CloudEm seguida, o SyncD executa sua segunda parte e cria uma porta dos fundos no Mac, por meio da qual pode se comunicar com o servidor dos atacantes. De acordo com a análise da Jamfu, ele pode, entre outras coisas, registrar dados inseridos pelo usuário, enviar informações periodicamente aos atacantes e receber comandos para executar remotamente código adicional. A comunicação pode ocorrer em intervalos de apenas alguns segundos.
Curiosamente, de acordo com a Jamf, a senha em si, proveniente da janela de autorização falsa, não é enviada diretamente aos atacantes. Em vez disso, o malware a oculta em um arquivo de configuração aparentemente inofensivo, utilizando caracteres Unicode invisíveis, e a usa localmente para suas operações subsequentes. Especialistas em segurança também alertam que CloudO SyncD não possui recursos integrados para extrair senhas automaticamente de navegadores, do Keychain ou de carteiras de criptomoedas. No entanto, devido à capacidade de executar comandos remotamente, um invasor pode explorar ainda mais o Mac comprometido.
Você pode estar interessado
Baixe o Zoom somente do site da Zoom.
Felizmente, defender-se contra esse tipo de ataque é relativamente simples. O aplicativo pode ser baixado, idealmente, de [inserir URL aqui]. Mac App Store ou diretamente dos sites oficiais de seus desenvolvedores. No caso do Zoom, seu operador oferece sua própria Central de Downloads e um instalador oficial para Macs. Apple Silicon e processadores Intel. Se, por outro lado, um aplicativo baixado solicitar imediatamente que você acesse as configurações de segurança do macOS e ignore manualmente o aviso para executá-lo, GatekeeperHum, uma luz vermelha bem forte deveria acender na sua cabeça.
CloudO SyncD é um ótimo exemplo de como os atacantes nem sempre precisam ser complexos para quebrar mecanismos de segurança. AppÀs vezes, eles só precisam convencer o usuário a contornar a proteção do Mac por conta própria. E se eles escondem todo o processo por trás de uma instalação aparentemente profissional de um aplicativo conhecido, pode não ser difícil perceber o truque.
