Napriek tomu, že sú Macy všeobecne považované za pomerne bezpečné počítače, ani ich používatelia sa najrôznejším podvodom a malwaru samozrejme nevyhnú. Bezpečnostní experti z Jamf Threat Labs teraz upozornili na novú hrozbu označovanú ako CloudSyncD, ktorá sa maskuje ako inštalátor populárnej aplikácie Zoom. A zatiaľ čo podobných falošných inštalátorov sme už v minulosti videli celý rad, tento je zaujímavý predovšetkým spôsobom, akým sa snaží obísť bezpečnostnú ochranu Gatekeeper. Namiesto hľadania nejakej sofistikovanej chyby v macOS totiž útočníci jednoducho presvedčia samotného užívateľa, aby ochranu systému vypol za nich.
CloudSyncD sa na prvý pohľad tvári ako úplne bežný inštalátor Zoomu pre Mac. Po otvorení stiahnutého obrazu disku sa užívateľovi zobrazí okno s ikonou aplikácie a zástupcom zložky Aplikácie, teda niečo, čo používatelia macOS dobre poznajú z inštalácie celého radu programov. Lenže škodlivá aplikácia nie je riadne podpísaná ani notarizovaná, a Gatekeeper ju preto pri bežnom spustení zablokuje. A práve tu prichádza na rad pomerne prefíkaný trik útočníkov.
Návod na inštaláciu je v skutočnosti návodom na obchádzanie ochrany
Na pozadí inštalačného okna sa totiž nachádza číslovaný návod, ktorý používateľovi vysvetľuje, čo má urobiť, ak chce údajný Zoom nainštalovať. Inštrukcie ho navedú do Nastavenie systému, následne do Súkromia a zabezpečenia a nakoneck možnosti „Napriek tomu otvoriť“. Užívateľ je potom vyzvaný aj na zadanie administrátorského hesla. Všetko pritom pôsobí ako bežný postup nutný na dokončenie inštalácie, v skutočnosti však užívateľ vlastnými rukami obchádza Gatekeeper a povoľuje spustenie aplikácie, pred ktorou ho macOS len o pár okamihov predtým varoval.
Práve v tom je celý útok pomerne šikovný. CloudSyncD totiž nepotrebuje hľadať bezpečnostnú chybu, vďaka ktorej by Gatekeeper technicky obišiel. Využíva legitímnu možnosť macOS určenú pre prípady, keď používateľ skutočne dôveruje aplikácii, ktorú Apple nedokáže overiť. Samotný Apple pritom pri tejto možnosti výslovne upozorňuje, že by ju používatelia mali využívať iba vtedy, ak majú istotu, že softvér pochádza z dôveryhodného zdroja.
Po zadaní hesla ho falošný inštalátor najskôr lokálne overí a následne zobrazí falošný priebeh sťahovania Zoomu, takže obeť nemusí mať dôvod začať niečo podozrievať. CloudSyncD medzitým spustí svoju druhú časť a vytvorí na Macu backdoor, prostredníctvom ktorého môže komunikovať so serverom útočníkov. Podľa analýzy Jamfu dokáže okrem iného zaznamenávať dáta zadávané užívateľom, pravidelne odosielať informácie útočníkom a prijímať príkazy na vzdialené spustenie ďalšieho kódu. Komunikácia pritom môže prebiehať v intervaloch iba niekoľkých sekúnd.
Zaujímavé je, že samotné heslo z falošného autorizačného okna podľa Jamfu nie je priamo odosielané útočníkom. Malware ho namiesto toho ukryje do zdanlivo nevinného konfiguračného súboru pomocou neviditeľných Unicode znakov a následne ho využíva lokálne na svoje ďalšie fungovanie. Bezpečnostní experti zároveň upozorňujú, že CloudSyncD nemá vstavané funkcie pre automatické vysávanie hesiel z prehliadačov, Kľúčenky alebo kryptomenových peňaženiek. Vzhľadom na možnosť vzdialeného spúšťania príkazov však môže útočník napadnutý Mac ďalej zneužívať.
Mohlo by vás zaujímať
Zoom sťahujte skutočne len zo Zoomu
Obrana proti podobnému útoku je našťastie relatívne jednoduchá. Aplikácia je ideálna sťahovať z Mac App Store alebo priamo z oficiálnych webových stránok ich vývojárov. V prípade Zoomu ponúka jeho prevádzkovateľ vlastný Download Center a oficiálny inštalátor pre Macy s Apple Silicon aj procesory Intel. Ak vás naopak stiahnutá aplikácia okamžite žiada, aby ste kvôli jej spusteniu zamierili do nastavenia zabezpečenia macOS a ručne obišli varovania Gatekeeperu, mala by sa vám v hlave rozsvietiť poriadne výrazná červená kontrolka.
CloudSyncD je totiž krásnym príkladom toho, že útočníci nemusia vždy zložito prelamovať bezpečnostné mechanizmy Applu. Niekedy im úplne stačí presvedčiť používateľov, aby ochranu svojho Macu obišiel sám. A pokiaľ navyše celý postup schovajú za na prvý pohľad profesionálne vyzerajúcu inštaláciu známej aplikácie, nemusí byť vôbec zložité ich tričku naletieť.
