Part01
Jamf例行扫描发现恶意样本
Jamf Threat Labs在VirusTotal例行扫描时，发现了隐藏在伪装Zoom客户端内的CloudSyncD恶意软件。
研究人员最早在9月15日监测到该样本，当时程序明显还处于开发阶段。仅两天后，他们就发现恶意软件从私有测试地址切换到真实域名下的活跃命令与控制基础设施，对于一个明显未完成的构建版本来说，这个迭代上线速度非常快。
Part02
仿冒Zoom安装包诱导操作
该恶意软件使用macOS平台常见的伪装投递手法，将自身伪装成正常的Zoom安装包。挂载后的磁盘镜像显示为名为Zoom的卷宗，带有仿冒的应用图标和应用程序文件夹快捷方式。镜像背景会逐步引导受害者绕过Gatekeeper检测——由于该应用仅采用临时签名，正常情况下macOS会直接阻止其运行。
应用启动后，会弹出虚假对话框向用户索要密码。弹窗谎称需要验证权限才能继续安装，且会反复弹出直到用户输入正确密码为止。
Jamf Threat Labs发布的分析报告写道：“用户输入密码后，投放器会通过dscl对接本地账户验证密码正确性，验证通过前不会继续执行后续流程。密码验证完成后，会弹出显示‘正在下载Zoom...’的虚假进度窗口。”
窃取到的密码不会立即向外发送。程序会先将密码做base64编码，填充随机长度的干扰文本，再埋藏在名为data.json的虚假配置文件中，伪装成普通缓存值。
这个配置文件被伪装成普通应用偏好设置，包含主题、语言设置等正常字段，普通用户粗略查看完全不会发现异常。
程序用来定位隐藏密码的特殊手法，也是其恶意逻辑的核心：在可见的版本号1.0.0之后，附带了48个不可见的Unicode字符，包括零宽空格和零宽不连字，正常文本视图下完全无法看到。这些字符解码后，会告知恶意软件真实密码在填充文本中的起始位置和长度。每次运行时填充的干扰文本长度都不固定，因此密码的隐藏位置每次都会变化，但定位手法始终保持一致。
Part03
恶意软件尝试无文件执行规避检测
该恶意软件不会单独下载payload，完整payload已经作为通用Mach-O文件内置在投放器中。
程序首先会尝试通过匿名文件描述符直接从内存运行payload，避免将payload写入磁盘。但在绝大多数Mac设备上，系统完整性保护（SIP）会阻止这种执行方式。Jamf在测试过程中也观测到该尝试失败，并记录了具体的报错信息。
该分析报告继续写道：“投放器不会自行下载payload，其内部内置了完整的通用Mach-O文件，开发版本的文件大小约为756KB，会在运行时释放。应用捆绑包内也存储了一份相同的payload，因此投放器有两个payload来源。投放器会先尝试将payload写入匿名文件描述符，再通过/dev/fd路径执行，大概率是为了避免Mach-O文件落地到磁盘。我们在测试中观测到该操作失败，投放器日志记录‘/dev/fd spawn failed rc=13’。受系统完整性保护限制，这种技术在绝大多数macOS系统上都无法生效。执行失败后，程序会调用mkstemp将payload临时写入磁盘，再通过sudo配合窃取到的用户密码执行，获取所需权限。”
payload执行后，恶意软件会运行一段清理脚本。该脚本在运行时由分散的混淆片段拼接而成，设计逻辑是替换原有应用捆绑包，之后自行删除痕迹。但在Jamf已捕获的样本中，用于替换的捆绑包并不存在，因此整个替换机制从未触发。这是一项已经开发完成、但对应payload尚未交付的预置功能。
Part04
后门功能克制可下发任意程序
第二阶段植入物会伪装成系统守护进程，Jamf将其命名为cloudsyncd。该植入物运行后行为非常克制，既没有设置持久化机制，也没有安装LaunchAgent。
它也没有按照配置文件的设计修改自身名称隐藏踪迹，只会创建工作目录，用加密记录存储运行日志。程序每隔8到16秒向服务器发起一次心跳，仅上报设备硬件标识符。
值得注意的是，恶意软件与服务器完成信令交互后的执行逻辑存在更高风险。服务器可以返回压缩包让程序解压执行，也可以直接下发完整可执行文件运行。这意味着该后门并不局限于执行单条shell命令，还可以投递并运行完整程序。对防御方来说，这提供了新的检测线索：需要关注可疑新文件的创建和执行行为，而非仅监测异常终端命令。
截至Jamf发布这份研究报告时，该恶意软件已经结束测试阶段，正与两个活跃域名通信。这两个域名均在2011年通过同一家注册商注册，由Cloudflare提供防护，当时均未被标记为恶意。所有样本使用的加密密钥和初始化向量完全一致，这意味着Jamf捕获的单个样本，就可以解密其他版本恶意软件的网络通信流量。
该报告总结道：“CloudSyncD为行业敲响了警钟：尽管当前威胁格局以信息窃取类恶意软件为主，但攻击者仍然会使用隐蔽性更强的恶意软件，长期潜伏直到需要进一步访问权限时才激活。它的行为特征表明，macOS恶意软件正持续向原生实现、字符串保护、无文件执行路径的方向发展，却依然依赖最古老的攻击手法：诱骗用户输入账号密码。”
参考来源：
Fake Zoom installer hides macOS backdoor CloudSyncD
https://securityaffairs.com/200293/malware/fake-zoom-installer-hides-macos-backdoor-cloudsyncd.html