Väärennetty Zoom-asennusohjelma Mac-tietokoneille ohjaa kiertämään Applen suojauksen ja tuo mukanaan haittaohjelman

Väärennetty Zoom-asennusohjelma ohjaa käyttäjää avittamaan myös haittaohjelman asentamista.

Laitehallintayhtiö Jamf on löytänyt macOS:lle suunnatun väärennetyn Zoom-asennusohjelman, joka yrittää saada käyttäjän kiertämään Applen Gatekeeper-suojauksen haittaohjelman asentamiseksi.

Haittaohjelma asentaa koneelle oikeankin Zoom-sovelluksen, mutta samalla koneelle päätyy myös tietoja varastava CloudSyncD-haittaohjelma.

Hyökkäys ei varsinaisesti murra Gatekeeperia teknisesti, vaan nojaa käyttäjän harhauttamiseen. Asennuspaketti on rakennettu näyttämään mahdollisimman tavalliselta Mac-asennuspaketilta.

CloudSyncD toimitetaan levykuvana, joka liitetään järjestelmään nimellä Zoom.

Ikkunassa näkyy tavallinen, Mac-käyttäjille tuttu asettelu: sovelluskuvake vasemmalla ja Applications-sovelluskansion pikakuvake oikealla.

Poikkeus on taustakuva, jossa käyttäjälle annetaan vaiheittaiset ohjeet asetusten kautta sallia sovelluksen avaaminen järjestelmänvalvojan salasanalla. Nämä vaiheet ovat käytännössä ohjeistus Gatekeeperin ohittamiseen.

Kun haittaohjelma on asennettu, CloudSyncD pystyy keräämään käyttäjän syöttämiä tietoja ja lähettämään niitä hyökkääjän palvelimelle.

Jamfin mukaan tietoja voidaan välittää eteenpäin jopa kahdeksan sekunnin välein.

Hyökkäyksestä tekee ovelamman se se, että käyttäjä saa samalla myös oikean Zoom-sovelluksen. Tämän vuoksi kaikki voi ensisilmäyksellä näyttää toimivan normaalisti.

macOS estää normaalisti avaamasta sovelluksia, jotka eivät ole läpäisseet Applen notarisointiprosessia. Hyökkääjien ongelmana onkin saada käyttäjä hyväksymään sovellus itse, ja juuri tähän CloudSyncD:n asennusohjelman ulkoasu ja ohjeistus tähtäävät.

Kyse on siis ennen kaikkea sosiaalisesta manipuloinnista, jossa haitallinen toiminta naamioidaan normaaliksi asennusvaiheeksi.

Tapaus korostaa jälleen sitä, että Mac-sovelluksia kannattaa asentaa vain Mac App Storesta tai kehittäjän viralliselta verkkosivustolta.

Jos sovellus pyytää käyttäjää erikseen ohittamaan macOS:n suojausvaroituksia ja avaamaan sen Open Anyway -toiminnolla, siihen kannattaa suhtautua varauksella erityisesti silloin, jos asennuspaketti on peräisin muualta kuin tunnetusta ja luotetusta lähteestä.

Mainos: Noin 1 600 000 tuotteen hintavertailu ja hintaseuranta - katso Hinta.fistä mistä saat halvimmalla