Um novo backdoor para macOS, denominado CloudSyncD, foi descoberto disfarçado como um instalador do Zoom, utilizando caracteres Unicode invisíveis para esconder senhas de acesso roubadas. O malware foi identificado durante monitoramento rotineiro no VirusTotal, embutido em um cliente falso do Zoom distribuído como uma imagem de disco chamada “Zoom”. A interface visual do instalador imita um fluxo de instalação comum do macOS, posicionando um ícone de aplicativo ao lado de um atalho da pasta Aplicativos.
Para contornar as proteções de segurança do macOS, o malware orienta os usuários a ignorarem o Gatekeeper, acessando as Configurações do Sistema e selecionando a opção “Abrir Assim Mesmo”, além de exigir a entrada de uma senha de administrador. Essa abordagem de engenharia social é essencial, já que o pacote malicioso do Zoom é apenas assinado ad-hoc. Normalmente, o Gatekeeper bloqueia esse tipo de aplicativo, mas as instruções do CloudSyncD transformam o aviso de segurança da Apple em parte da cadeia de infecção.
O primeiro estágio do malware, localizado em Zoom.app/Contents/MacOS/app_installer, é responsável pelo password phishing, validação, execução do payload e limpeza. Em vez de roubar e exfiltrar imediatamente a senha, o CloudSyncD a valida localmente utilizando o dscl, uma ferramenta de linha de comando do macOS. O aplicativo exibe um falso password prompt que solicita repetidamente a senha até que o usuário forneça uma que corresponda à conta local.
Após a validação, o malware apresenta um diálogo enganoso de “Baixando Zoom…” enquanto avança para a próxima etapa. Um aspecto notável do CloudSyncD é a forma como ele armazena as credenciais capturadas. O malware cria um arquivo chamado data.json no diretório ~/.config/zoom/, apresentando-o como configurações normais do aplicativo, que incluem campos como tema, idioma, notificações e análises. A senha é codificada em base64 e inserida dentro de um longo valor de cache, cercada por caracteres aleatórios gerados.
A pesquisa da Jamf revelou que a campanha evoluiu rapidamente de uma versão em desenvolvimento, descoberta em 15 de setembro, para implantações utilizando infraestrutura de comando e controle (C2) ativa em menos de dois dias. O CloudSyncD não se comporta como um infostealer convencional, pois não apresenta funções integradas para coletar credenciais de navegadores, conteúdos do Keychain ou carteiras de criptomoedas.
O password capturado é utilizado para executar um segundo payload, um binário universal Mach-O que oferece acesso privilegiado em Macs com arquitetura Intel e Apple Silicon. O dropper tenta uma execução sem arquivos através de /dev/fd, uma abordagem que falhou durante os testes devido a erros de permissão, em conformidade com as proteções do macOS, como a Proteção da Integridade do Sistema.
Com a falha na execução fileless, o malware recorre à criação de um payload temporário com mkstemp, lançando-o com a senha validada do usuário. O segundo estágio é configurado para operar como um daemon de sincronização em segundo plano chamado cloudsyncd, estabelecendo um diretório de trabalho oculto sob a pasta do usuário e armazenando logs em ~/.local/share/cloudsync/.config/logs/sync.err.
O malware realiza um levantamento do sistema comprometido, coletando informações como UUID de hardware, detalhes do processador, memória, informações do sistema operacional, nome do host, nome de usuário e endereço MAC. O que resta a ser observado é como a situação se desenvolverá, considerando que a Jamf não reportou infecções confirmadas até o momento.
Siga a HACKBR e receba as notícias de cibersegurança e tecnologia no seu feed: Instagram @hackbrnews