Macworld: образ диска з фальшивим інсталятором Zoom націлений на Mac із чипами серії M та Intel

Macworld повідомив 30 вересня 2026 року, що нещодавно виявлена загроза для macOS надходить як образ диска, поданий як інсталятор Zoom, і що вона працює як на Mac із чипами серії M, так і на Intel ^[1]. У публікації відкриття приписано Jamf Threat Labs, а родину названо CloudSyncD ^[1]. Інсталятор спирається на інструкції, які велять користувачеві обійти захист macOS, тож точкою входу стає власна дія користувача.

Передумови

Gatekeeper — це перевірка macOS, що відмовляється відкривати програми, які не підписано й не схвалено у звичний спосіб. Macworld зазначає, що інсталятор містить на тлі інструкції, як обійти Gatekeeper, який інакше заблокував би програму ^[1]. Jamf Threat Labs описує той самий крок: образ диска використовує фонову ілюстрацію, що велить користувачам перевизначити Gatekeeper через Системні параметри ^[2].

Що описують публікації

За даними Macworld, образ диска імітує стандартний інсталятор Zoom зі звичним макетом «перетягніть у Програми». Macworld каже, що програма звітує своїм операторам аж кожні 8 секунд і дозволяє віддалене виконання команд, а родину описує як інфостилер ^[1].

Jamf Threat Labs, первинне джерело, описує образ диска, що монтується як том з назвою «Zoom», із піктограмою застосунку ліворуч і аліасом на Програми праворуч ^[2]. Його перший етап — це дроппер з ad-hoc підписом, який показує запит пароля з текстом «Enter your password to allow this», а потім вікно прогресу із заголовком «Downloading Zoom…» ^[2]. Другий етап — універсальний бінарний файл Mach-O, що охоплює і Apple silicon, і Intel ^[2]. Jamf повідомляє, що виявила збірку для розробки 15 вересня 2026 року, а після двох днів спостереження знайшла зразки, налаштовані на діючу інфраструктуру, з більш ніж одним доменом командного сервера ^[2].

Наслідки для користувачів Mac

Не сказано, що інсталятор використовує вразливість macOS. І публікація Macworld, і виклад Jamf роблять наголос на тому, що користувача переконують обійти Gatekeeper і ввести пароль ^{[1] [2]}. Користувачі Mac, які отримують програми для відеоконференцій не з сайту самого розробника чи Mac App Store, — це аудиторія, до якої звертаються публікації, а архітектура не захищає, адже, за повідомленнями, програма працює і на Mac з Intel, і на Apple silicon ^[1].

Рекомендації

1. Завантажуйте Zoom лише з Mac App Store або офіційного сайту розробника, як радить Macworld ^[1].
2. Вважайте тривожною ознакою будь-який образ диска, на тлі якого написано, як обійти Gatekeeper, адже публікації описують саме таку інструкцію ^{[1] [2]}.
3. Не вводьте пароль від Mac у запит, показаний щойно завантаженим інсталятором.
4. Перевіряйте адреси відправників і URL, перш ніж клацати, і уникайте посилань із невідомих джерел, як радить Macworld ^[1].
5. Адміністратори, які користуються Jamf, можуть налаштувати запобігання загрозам, розширені засоби контролю загроз і веб-захист на режим Block and Report, як рекомендує Jamf ^[2].

Стосунок до FireAI

FireAI — це мережевий брандмауер для одного Mac. Він не сканує образи дисків, не читає ілюстрацій інсталятора, не заважає користувачеві перевизначити Gatekeeper і не видаляє вже встановлене програмне забезпечення. Він діє на мережевому рівні: запит першого з’єднання питає, коли застосунок чи процес вперше звертається до адреси призначення, правила для окремих застосунків можуть його заблокувати, а сторінка Загрози перелічує те, що виглядає підозріло. Програма, яка багаторазово звертається до сервера, як описують публікації, — це саме той трафік, який показали б ці розділи, хоча джерела не тестують FireAI проти цієї родини.

Обмеження

Macworld і Jamf розставляють акценти по-різному. Macworld називає родину інфостилером, тоді як Jamf стверджує, що зразок не містить вбудованих функцій для збирання даних браузера, елементів зв’язки ключів чи криптогаманців ^{[1] [2]}. Текст Macworld, отриманий для цього матеріалу, не вказував, як інсталятор поширюється серед жертв, а кількість уражених Mac жодне з джерел не наводить. Аналіз Jamf спирається на збірку для розробки та зразки, налаштовані на діючу інфраструктуру; поведінка пізніших збірок не встановлена.

Спробуйте FireAI від HisnLabs безкоштовно 17 днів.