Šta se desilo

Jamf Threat Labs je 30. septembra 2026. objavio analizu CloudSyncD-a. Uzorci su pronađeni od 15. septembra, a kasniji primerci koriste dostupnu komandnu infrastrukturu. Broj zaraženih računara nije naveden.

Koga pogađa

Rizik se odnosi na korisnike macOS-a koji pokrenu lažni Zoom instalater, zaobiđu Gatekeeper i unesu lozinku. Analizirani drugi stepen podržava Intel i Apple silicon. Istraživanje ne utvrđuje ranjive verzije legitimnog Zooma.

Kako se zaštititi

  • Preuzimajte aplikaciju iz zvaničnog Zoom centra za preuzimanje ili odobrenog poslovnog kataloga.
  • Ne pratite uputstva nepoznatog instalatera za zaobilaženje zaštite. Ako poreklo paketa nije jasno, prekinite instalaciju i obratite se IT podršci.
  • Sam zahtev za lozinku nije dokaz prevare: Zoom navodi da instalacija za sve korisnike može zahtevati administratorske kredencijale.
  • Ne oslanjajte se samo na HTTPS ili izgled stranice kao dokaz autentičnosti. Proverite adresu i poreklo paketa.
  • Ako ste pokrenuli sumnjivi paket, izolujte računar od mreže i uključite IT tim. Sa pouzdanog uređaja promenite izloženu lozinku i druge naloge na kojima je ponovljena, uz plan sanacije računara.

Tehnički detalji

Drugi stepen je ugrađen u dropper. Tehnička analiza opisuje lokalno skrivanje lozinke u konfiguracionoj datoteci i njenu upotrebu za pokretanje preko sudo. Implant šalje podatke o računaru i može pokretati dodatne izvršne datoteke. U analiziranim uzorcima nisu pronađene ugrađene funkcije za krađu podataka iz browser-a, Keychain-a ili kripto novčanika, niti je tokom testiranja uspostavljena perzistencija.

Zašto je važno

Ovaj slučaj pokazuje kako uverljiv instalacioni prozor može navesti korisnika da sam odobri rizične radnje. Ograničen skup uočenih funkcija nije garancija bezbednosti uređaja.

Preporuka Sajber Radara

Organizujte preuzimanje poslovnih aplikacija kroz odobrene kanale i omogućite zaposlenima da lako prijave sumnjivu instalaciju. Ažuriranje aplikacije samo po sebi nije postupak uklanjanja malvera; sumnju na kompromitaciju obradite kao incident.