サイバーセキュリティ企業のJamfが、ビデオ会議アプリ「Zoom」を装ったMac用の偽インストーラーを発見しました。このマルウェアはAppleのセキュリティ機能であるGatekeeperを巧妙に回避し、情報を窃取することが判明したと9to5Macが伝えています。
Gatekeeperを回避させる巧妙な誘導手法
このマルウェアはCloudSyncDと名付けられており、ディスクイメージ形式で配布されます。マウントされるボリューム名は「Zoom」となっており、左側にアプリケーションアイコン、右側にアプリケーションフォルダへのエイリアスが配置されるという、一般的なMacのインストーラーを模した構成です。
最大の特徴は背景画像に番号付きのセットアップ手順が記載されている点にあります。ユーザーに対し、システム設定の「プライバシーとセキュリティ」からセキュリティセクションまでスクロールし、「そのまま開く」をクリックして管理者パスワードを入力するよう指示します。これにより、Appleによる公証を受けていないアプリの実行を制限するGatekeeperの保護を意図的に回避させます。
Zoomのインストールと同時に情報を窃取
この偽インストーラーを実行すると、実際にZoomがインストールされます。しかし同時に、ユーザーが入力したデータをキャプチャして攻撃者のサーバーへ送信するインフォスティーラーも導入されます。
インストール後のマルウェアは、入力されたデータを最短8秒間隔という高頻度で攻撃者に送信することが可能です。被害を防ぐため、アプリのインストールはMac App Storeまたは信頼できる開発者の公式サイトからのみ行うことが推奨されています。
出典: 9to5Mac — This fake Mac Zoom installer has a sneaky way to bypass Gatekeeper
