Jamf je otkrio lažni instalacijski paket za Zoom koji na Mac računala postavlja zlonamjerni program CloudSyncD. Napad traži da korisnik pokrene aplikaciju i unese administratorsku lozinku. Program uspostavlja trajan pristup i prikriva komunikaciju s upravljačkim poslužiteljem. Identitet napadača i broj zaraženih računala nisu utvrđeni.
Dropper pokušava izvršiti payload preko anonimnog deskriptora datoteke kako bi ostavio manje tragova na disku. Kada ga macOS System Integrity Protection zaustavi, zlonamjerni kod prelazi na rezervni put: privremeno zapisuje datoteku i pokreće je naredbom sudo.
Konfiguracija je šifrirana unutar binarne datoteke, a proces se skriva iza naziva CloudSyncD. Noviji uzorci koriste dvije domene iza Cloudflarea i putanju koja izgleda kao jQuery skripta, čime se komunikacija s upravljačkim poslužiteljem pokušava uklopiti u uobičajen web promet.
Isti ključevi, inicijalizacijski vektori i tablice zamjene u više verzija omogućili su istraživačima povezivanje uzoraka. To obrani daje stabilne pokazatelje kompromitacije, ali i upozorava da operator može brzo promijeniti krajnje domene bez izmjene glavnog koda.
CloudSyncD profilira računalo i šalje podatke o sustavu i korisniku. Nije klasičan infostealer koji odmah skuplja lozinke iz preglednika; njegova vrijednost napadaču je dugotrajan pristup kroz koji se naknadno mogu isporučiti dodatni zlonamjerni sadržaji.
Organizacije trebaju provjeriti izvor instalera, potpise aplikacija, novonastale launch daemone i mrežne veze prema objavljenim indikatorima. Sama zabrana nepoznatih aplikacija nije dovoljna ako korisnik administratorskom lozinkom svjesno odobri izvršavanje.
Jamf je objavio pokazatelje za lov na prijetnju. Sljedeća relevantna činjenica bit će identitet operatora ili dokaz o opsegu kampanje; istraživači zasad nisu javno pripisali malware određenoj skupini.
CloudSyncD još ovisi o tome da korisnik pokrene lažni instalater i preda administratorsku lozinku, ali nakon toga stvara trajni pristup. Jamfovi indikatori omogućuju traženje poznatih verzija i prometa, dok identitet operatora i broj zaraženih Macova zasad nisu utvrđeni.
Slučaj je nastao nakon što je zamjenik šerifa okruga Tulsa u bazi tražio kretanje vozila osumnjičenog za trgovinu drogom. U automobilu je poslije pronađena velika količina metamfetamina, ali sud je odvojio rezultat istrage od zakonitosti digitalnog praćenja.
Dropper pokušava izvršiti payload preko anonimnog deskriptora datoteke kako bi ostavio manje tragova na disku. Kada ga macOS System Integrity Protection zaustavi, zlonamjerni kod prelazi na rezervni put: privremeno zapisuje datoteku i pokreće je naredbom sudo.
Američki incident dogodio se dok su agenti tražili školske statistike koje odgovaraju zadatku iz Googleova referentnog testa DeepSearchQA. To upućuje na pogrešno ponašanje tijekom dohvaćanja javnih podataka, a ne na izričitu korisničku naredbu za provalu.
