安全公司曝光新型 macOS 恶意木马 CloudSyncD，通过伪装成 Zoom 安装程序传播

JamfThreatLabs表示，黑客主要利用山寨网站传播CloudSyncD恶意木马，相应钓鱼安装程序界面看起来与普通Mac安装程序非常相似，异常点主要在于背景图片，其中列出了一系列所谓的“安装步骤”。按照这些提示，用户需要打开“系统设置”，进入“隐私与安全性”，找到相关应用后点击“仍要打开（OpenAnyway）”，随后输入Mac管理员密码。在用户完成操作后，恶意安装程序还会弹出一个伪造的授权窗口，要求再次输入管理员密码。CloudSyncD会将输入的密码与当前Mac账户进行验证，如果密码错误就再次要求输入，直到获得正确密码。值得注意的是，CloudSyncD并不会直接将管理员密码发送给黑客，而是将其写入一个伪装成普通Zoom配置文件的文件中，并利用不可见的Unicode字符标记密码所在位置。随后，后门程序会读取该密码，并借助管理员权限在系统中运行。此后，恶意软件会每隔约8至16秒向服务器查询新的指令。攻击者可以下发可执行文件，也可以发送压缩文件，从而为后续黑客远程部署其他恶意工具提供条件。安全公司指出，对于Mac用户而言，最简单的防范方式是仅通过AppStore下载应用。同时，用户不应仅因为所谓“安装程序提示”就输入管理员密码，大多数正常的macOS应用都不会要求用户输入密码，用户应在确认软件来源之前避免继续安装，以免被黑客乘虚而入。