Dette er ikke Zoom – stjeler adminpassordet

En ny Mac-skadevare, CloudSyncD, utgir seg for å være Zoom og forsøker å lure brukeren til å overstyre Apples egne sikkerhetsmekanismer, inkludert Gatekeeper, og skrive inn administratorpassordet.

Ny skadevare later som den er Zoom – stjeler adminpassord

Skadevaren ble oppdaget av sikkerhetsforskerne i Jamf Threat Labs. Forskerne fant den første versjonen i midten av september, og kort tid senere dukket det opp varianter som kommuniserte med aktive servere på nettet. Skummelt, med andre ord.

Angrepet starter med en DMG-fil som ser ut som en vanlig Zoom-installasjon på Mac, så blir brukeren instruert til å åpne Systeminnstillinger, gå til Personvern og sikkerhet og velge «Åpne likevel».

Skjuler passordet med usynlige tegn

CloudSyncD bruker også en uvanlig metode for å skjule passordet: det lagres inne i en normal konfigurasjonsfil sammen med tilfeldige tegn – for å finne igjen hvor passordet ligger, brukes usynlige Unicode-tegn som ikke synes når filen åpnes på vanlig måte.

Passordet brukes deretter lokalt til å starte neste del av skadevaren med administratorrettigheter.

Den andre delen av CloudSyncD ligger allerede innebygget i den falske Zoom-appen. Når den kjører, samler den inn informasjon om Mac-en, blant annet prosessor, minne, macOS-versjon, maskinnavn, brukernavn og maskinvareinformasjon.

Deretter kontakter den angripernes servere med jevne mellomrom og kan motta nye programmer som skal kjøres på maskinen.