伪装成 Zoom 安装包：新 macOS 木马 CloudSyncD 盯上管理员密码

10 月 2 日，安全厂商 Jamf Threat Labs 在一篇文章里披露，业界冒出一个叫 CloudSyncD 的新木马，专门针对 macOS。它把自己扮成 Zoom 的视频会议安装包，借“安装说明”诱导用户关掉 macOS 自带的 Gatekeeper 防护并交出管理员密码，一旦照做，攻击者便能在 Mac 上建立隐藏后门。

据披露，黑客主要用山寨网站来散播这个木马，钓鱼安装程序的界面与普通 Mac 安装器非常相似，破绽主要藏在背景图上——其中列出了一连串所谓的“安装步骤”。按提示操作，用户需要打开系统设置、进入隐私与安全性、找到相关应用后点击“仍要打开”，再输入 Mac 的管理员密码。

用户照做之后，程序又弹出一个伪造的授权框，再次索要管理员密码，而 CloudSyncD 会把拿到手的密码跟当前账户比对，不对就继续索要，直到拿到正确的为止。

值得留意的是，它不会直接把密码发给黑客，而是写进一个看上去像普通 Zoom 配置的文档里，同时借助肉眼看不见的 Unicode 字符把密码位置标出来；随后后门程序读取该密码，凭管理员权限在系统里落地运行。之后，它每隔约 8 到 16 秒向服务器索取新指令，攻击者既能下发可执行文件，也能发送压缩包，为远程部署更多恶意工具铺路。

安全公司给出的建议很朴素：Mac 用户尽量只从 App Store 下载应用，不要仅凭所谓“安装提示”就输入管理员密码。大多数正常的 macOS 应用并不会索要密码，在确认软件来源之前，宁可中止安装，也不要让黑客有可乘之机。

这类钓鱼手法并不依赖系统漏洞，而是把突破口放在用户对安装流程的信任上，因此单靠打补丁很难杜绝，使用习惯才是真正的防线。

对普通用户来说，遇到来源不明的安装包时，拒绝关闭系统安全机制、不随意输入管理员密码，往往比事后查杀更有效。

文章与图片内容转载网络，如有侵权请联系平台删除