Neue macOS-Malware CloudSyncD verbreitet sich als Zoom-Installer
Das Sicherheitsunternehmen Jamf Threat Labs hat eine neue macOS-Malware namens CloudSyncD aufgedeckt, die sich als Zoom-Installer tarnt. Sie verleitet Benutzer dazu, Sicherheitsfunktionen zu deaktivieren und Administratorzugangsdaten preiszugeben.
Ein neuer macOS-Schadcode namens CloudSyncD wurde identifiziert, der Sicherheitsmechanismen umgeht, indem er sich als Installationsprogramm für die Zoom-Konferenzsoftware ausgibt. Laut dem Sicherheitsunternehmen Jamf Threat Labs verleitet die Malware Benutzer dazu, die integrierte Gatekeeper-Sicherheitsfunktion von macOS zu deaktivieren und ihr Administratorpasswort einzugeben. Dies ermöglicht es Angreifern, eine versteckte Hintertür auf betroffenen Mac-Computern einzurichten.
Die Malware wird häufig über betrügerische Websites verbreitet, die legitime Zoom-Installationsprogramme imitieren. Die bösartigen Installationsdateien enthalten Anweisungen, die Benutzer auffordern, Gatekeeper zu deaktivieren und ihre Administratorzugangsdaten einzugeben. Das Ausführen dieser Schritte gewährt der Malware Systemzugriff und ermöglicht die Erstellung einer Hintertür.
Nachdem ein Benutzer das Passwort eingegeben hat, speichert die Malware es in einer Konfigurationsdatei und verwendet unsichtbare Unicode-Zeichen, um seine Position zu markieren. Das Hintertürprogramm kann dann Befehle mit Administratorrechten ausführen und Fernanweisungen von Angreifern empfangen. Diese Anweisungen können den Download von ausführbaren Dateien oder komprimierten Archiven umfassen und weitere bösartige Aktivitäten ermöglichen.
Jamf Threat Labs rät Mac-Benutzern, Anwendungen ausschließlich aus dem App Store herunterzuladen und beim Auffordern zur Eingabe von Administratorpasswörtern vorsichtig zu sein. Die meisten legitimen macOS-Anwendungen erfordern während der Installation kein Passwort. Benutzer sollten die Quelle jeder Software überprüfen, bevor sie mit der Installation fortfahren, um Sicherheitsrisiken zu mindern.