Falso instalador do Zoom CloudSyncD engana usuários de Mac para burlar o Gatekeeper

A empresa de segurança Jamf Threat Labs identificou uma nova família de malware para Mac chamada CloudSyncD, disfarçada de instalador do Zoom. Em vez de explorar vulnerabilidades de dia zero no macOS, o malware depende de engenharia social para persuadir os usuários a desativarem manualmente as defesas do sistema, como o Gatekeeper, e entregarem privilégios de administrador.

Como o CloudSyncD contorna o Gatekeeper

O CloudSyncD é distribuído como uma imagem de disco que é montada sob o nome Zoom, contendo elementos visuais projetados para imitar janelas legítimas de instalação de software. O plano de fundo do instalador exibe instruções explícitas que direcionam os usuários a abrir os Ajustes do Sistema, navegar até Privacidade e Segurança e selecionar Abrir Mesmo Assim para burlar as verificações de notarização do macOS.

Uma vez executado, o instalador apresenta um prompt de autorização falso que exige uma senha de administrador. O malware valida a senha com a conta local do Mac, solicitando-a repetidamente até que o usuário a insira corretamente. Para evitar detecção imediata, o instalador oculta as credenciais validadas dentro de um arquivo de configuração falso do Zoom marcado com caracteres Unicode invisíveis, em vez de transmitir a senha pela rede.

Funcionalidade de backdoor e andamento da campanha

Utilizando os privilégios de administrador obtidos, o CloudSyncD executa um backdoor oculto compatível com Macs com Apple Silicon e processadores Intel. O payload coleta métricas do sistema — incluindo identificador de hardware, tipo de CPU, memória RAM instalada, versão do macOS e nome de usuário — e as transmite para um servidor de comando e controle. O backdoor consulta esse servidor a cada 8 a 16 segundos para recuperar e executar binários adicionais ou arquivos compactados.

A Jamf Threat Labs detectou uma amostra do CloudSyncD pela primeira vez em 15 de setembro de 2026. Embora as primeiras variantes carecessem de rotinas direcionadas de roubo de informações, como dados de navegação ou extração do Chaveiro, amostras subsequentes mostraram comunicação ativa com infraestrutura real. A Jamf observou que o malware ainda não foi vinculado a um agente de ameaças específico. Os usuários podem evitar o comprometimento baixando softwares exclusivamente por canais oficiais, como o site zoom.us ou a Mac App Store, e recusando comandos do sistema para ignorar o Gatekeeper.

Ilustração editorial gerada por IA; não é uma fotografia documental.

Fonte: Fake Zoom installer tricks Mac users into bypassing Gatekeeper