Un falso instalador de Zoom llamado CloudSyncD engaña a los usuarios de Mac para saltarse Gatekeeper

La firma de seguridad Jamf Threat Labs ha identificado una nueva familia de programas maliciosos para Mac denominada CloudSyncD, la cual se disfraza de instalador de Zoom. En lugar de explotar vulnerabilidades de día cero en macOS, este malware recurre a la ingeniería social para persuadir a los usuarios de que desactiven manualmente las defensas del sistema, como Gatekeeper, y entreguen sus privilegios de administrador.

Cómo CloudSyncD elude Gatekeeper

CloudSyncD se distribuye como una imagen de disco que se monta bajo el nombre de Zoom, acompañada de elementos visuales diseñados para imitar las ventanas de instalación de software legítimo. El fondo del instalador muestra instrucciones explícitas que indican a los usuarios abrir la Configuración del Sistema, navegar hasta Privacidad y seguridad y seleccionar Abrir de todos modos para omitir las comprobaciones de notarización de macOS.

Una vez ejecutado, el instalador presenta una solicitud de autorización falsa que exige una contraseña de administrador. El malware valida dicha contraseña frente a la cuenta local del Mac, solicitándola de forma repetida hasta que el usuario la introduce de manera correcta. Para evitar una detección inmediata, el instalador oculta las credenciales validadas dentro de un archivo de configuración trampa de Zoom marcado con caracteres Unicode invisibles, en lugar de transmitir la clave a través de la red.

Funcionalidad de puerta trasera y avance de la campaña

Utilizando los privilegios de administrador obtenidos, CloudSyncD ejecuta una puerta trasera oculta compatible tanto con ordenadores Mac con procesadores Apple Silicon como Intel. La carga útil recopila métricas del sistema —como el identificador de hardware, el tipo de CPU, la memoria RAM instalada, la versión de macOS y el nombre de usuario— y las transmite a un servidor de comando y control. Dicha puerta trasera consulta este servidor cada 8 a 16 segundos para recuperar y ejecutar binarios adicionales o archivos comprimidos.

Jamf Threat Labs detectó por primera vez una muestra de CloudSyncD el 15 de septiembre de 2026. Si bien las primeras variantes carecían de rutinas dirigidas al robo de información, como datos del navegador o del llavero del sistema, las muestras posteriores mostraron una comunicación activa con infraestructura en funcionamiento. La empresa señaló que el malware todavía no se ha vinculado con un actor de amenazas específico. Los usuarios pueden evitar la infección descargando software exclusivamente a través de canales oficiales como zoom.us o la Mac App Store, y negándose a seguir avisos del sistema que pretendan anular Gatekeeper.

Ilustración editorial generada con IA; no es una fotografía documental.

Fuente: Fake Zoom installer tricks Mac users into bypassing Gatekeeper