Falscher Zoom-Installer CloudSyncD verleitet Mac-Nutzer zum Umgehen von Gatekeeper

Das Sicherheitsunternehmen Jamf Threat Labs hat eine neue Mac-Malware-Familie namens CloudSyncD entdeckt, die sich als Zoom-Installationsprogramm tarnt. Anstatt Zero-Day-Schwachstellen in macOS auszunutzen, setzt die Schadsoftware auf Social Engineering, um Nutzer dazu zu bringen, Schutzmechanismen wie Gatekeeper manuell zu deaktivieren und Administratorrechte preiszugeben.

Wie CloudSyncD Gatekeeper umgeht

CloudSyncD wird als Festplattenabbild verbreitet, das unter dem Namen Zoom eingebunden wird und visuell echten Installationsfenstern nachempfunden ist. Der Hintergrund des Installers zeigt eine Anleitung, die Anwender dazu auffordert, die Systemeinstellungen zu öffnen, zu „Datenschutz & Sicherheit“ zu navigieren und auf „Dennoch öffnen“ zu klicken, um die Notarisierungsprüfung von macOS zu umgehen.

Nach dem Start zeigt das Programm eine gefälschte Authentifizierungsaufforderung für das Admin-Passwort an. Die Malware gleicht die Eingabe mit dem lokalen Mac-Konto ab und fordert den Nutzer so lange erneut auf, bis das Passwort korrekt ist. Um eine sofortige Entdeckung zu vermeiden, verbirgt die Malware die verifizierten Zugangsdaten in einer getarnten Zoom-Konfigurationsdatei mithilfe unsichtbarer Unicode-Zeichen, anstatt sie direkt über das Netzwerk zu übertragen.

Backdoor-Funktionen und Verlauf der Kampagne

Mit den erlangten Administratorrechten führt CloudSyncD eine versteckte Backdoor aus, die sowohl auf Apple-Silicon- als auch auf Intel-Macs läuft. Die Schadsoftware erfasst Systemdaten – darunter Hardware-ID, CPU-Typ, Arbeitsspeicher, macOS-Version und Benutzername – und sendet diese an einen Command-and-Control-Server. Die Backdoor fragt diesen Server alle 8 bis 16 Sekunden ab, um weitere Binärdateien oder komprimierte Archive abzurufen und auszuführen.

Jamf Threat Labs entdeckte die erste Probe von CloudSyncD am 15. September 2026. Während frühe Varianten noch keine gezielten Funktionen zum Diebstahl von Browserdaten oder Schlüsselbund-Inhalten enthielten, zeigten spätere Proben eine aktive Kommunikation mit einer Live-Infrastruktur. Jamf wies darauf hin, dass die Malware bisher keiner bestimmten Angreifergruppe zugeordnet wurde. Nutzer können Infektionen vermeiden, indem sie Software ausschließlich über offizielle Quellen wie zoom.us oder den Mac App Store beziehen und Aufforderungen zum Umgehen von Gatekeeper ignorieren.

KI-generierte redaktionelle Illustration; kein Dokumentarfoto.

Quelle: Fake Zoom installer tricks Mac users into bypassing Gatekeeper