Sahte Zoom Kurulum Dosyası macOS Sistemlere CloudSyncD Backdoor Yerleştiriyor

Jamf Threat Labs araştırmacıları, VirusTotal üzerinde yaptıkları rutin taramalar sırasında, popüler video konferans uygulaması Zoom kılığına girmiş zararlı bir yazılım paketi tespit etti. 15 Eylül tarihinde ilk izlerine rastlanan bu saldırı aracının, kısa sürede test aşamasından gerçek komuta kontrol sunucularına bağlanan aktif bir yapıya dönüştüğü gözlemlendi.

Saldırganlar, kullanıcıları kandırmak için klasik bir macOS yöntemi kullanıyor. Disk görüntüsü açıldığında, kurbanlara Gatekeeper güvenlik önlemini nasıl devre dışı bırakacaklarını adım adım gösteren bir görsel sunuluyor. Uygulama başlatıldığında ise kurulumun devam etmesi gerektiği bahanesiyle sahte bir parola ekranı çıkıyor. Girilen şifre, `data.json` adlı masum görünen bir ayar dosyasının içine, karmaşık bir Unicode gizleme tekniğiyle şifrelenerek yerleştiriliyor.

Zararlı yazılım, sistemdeki System Integrity Protection (Sistem Bütünlüğü Koruması) mekanizmasını aşmak için önce bellek üzerinden çalışmayı deniyor. Bu yöntem engellendiğinde ise ele geçirdiği yönetici şifresini kullanarak kendini sisteme yüklüyor. CloudSyncD olarak adlandırılan bu backdoor, her 8 ila 16 saniyede bir saldırganın sunucusuyla iletişim kurarak yeni komutlar veya çalıştırılabilir dosyalar alabiliyor.

Araştırmacılar, bu zararlı yazılımın henüz geliştirme aşamasında olduğunu ve gelecekte daha karmaşık saldırı modülleriyle güncellenebileceğini belirtiyor. Kullanıcıların, uygulamaları yalnızca resmi kaynaklardan indirmeleri ve işletim sistemi tarafından sağlanan güvenlik uyarılarını göz ardı etmemeleri, bu tür saldırılara karşı en temel savunma hattını oluşturuyor.