macOS Users Targeted by Fake Zoom Installer Carrying CloudSyncD Backdoor

Un ins­ta­la­dor falso de la apli­ca­ción Zoom para sis­te­mas ope­ra­ti­vos macOS ocul­ta un ins­ta­la­dor de có­di­go ma­li­cio­so co­no­ci­do como CloudSyncD, el cual busca des­ple­gar una puer­ta tra­se­ra per­sis­ten­te y si­gi­lo­sa. In­ves­ti­ga­do­res de­tec­ta­ron ini­cial­men­te esta ame­na­za cuan­do se en­con­tra­ba en fase de de­sa­rro­llo, pero pos­te­rior­men­te ha­lla­ron nue­vas mues­tras que evi­den­cian su tran­si­ción hacia una etapa de im­ple­men­ta­ción ac­ti­va, em­plean­do téc­ni­cas de in­ge­nie­ría so­cial para en­ga­ñar a los usua­rios.

El pro­ce­so de in­fec­ción co­mien­za cuan­do la víc­ti­ma des­car­ga una ima­gen de disco que apa­ren­ta ser la pla­ta­for­ma de vi­deo­con­fe­ren­cias, pero que en reali­dad con­tie­ne un ar­chi­vo eje­cu­ta­ble que ex­trae la carga útil. Para lo­grar su eje­cu­ción a pesar de las pro­tec­cio­nes del sis­te­ma ope­ra­ti­vo, el pro­gra­ma ma­li­cio­so so­li­ci­ta la con­tra­se­ña del usua­rio me­dian­te en­ga­ños y uti­li­za pri­vi­le­gios de su­per­usua­rio, ope­ran­do pos­te­rior­men­te en se­gun­do plano como un de­mo­nio y des­ci­fran­do su con­fi­gu­ra­ción in­ter­na du­ran­te su eje­cu­ción.

Las com­pi­la­cio­nes ana­li­za­das re­cien­te­men­te com­par­ten ele­men­tos co­mu­nes como ta­blas de ofus­ca­ción, rutas de ins­ta­la­ción y cla­ves crip­to­grá­fi­cas, uti­li­zan­do di­rec­cio­nes de ser­vi­dor y do­mi­nios pro­te­gi­dos que imi­tan pe­ti­cio­nes de có­di­go le­gí­ti­mo. Aun­que el me­ca­nis­mo de en­tre­ga ini­cial puede con­fun­dir­se con un roba-in­for­ma­ción, CloudSyncD fun­cio­na como una puer­ta tra­se­ra orien­ta­da a rea­li­zar re­co­no­ci­mien­to del sis­te­ma, per­fi­lar el equi­po y per­mi­tir el ac­ce­so a largo plazo para fu­tu­ros ata­ques, sin ex­fil­trar la con­tra­se­ña cap­tu­ra­da sino li­mi­tán­do­se a usar­la lo­cal­men­te para ob­te­ner per­mi­sos ele­va­dos.