یک بدافزار جدید از نوع Dropper برای سیستم‌عامل macOS شناسایی شده است که در قالب یک نسخه جعلی از کلاینت Zoom توزیع می‌شود. این بدافزار که با نام CloudSyncD ردیابی می‌شود، برای ایجاد یک بک‌دور (Backdoor) پایا و مخفی در سیستم قربانی طراحی شده است.
روند سرایت و مکانیسم اجرا
فرآیند سرایت با استفاده از روش‌های متداول مهندسی اجتماعی (Social Engineering) آغاز می‌شود تا کاربران را به دانلود محتوای مخرب ترغیب کند. در این کمپین، بدافزار در قالب یک Disk Image با نام Zoom ارائه می‌شود. برای فعال‌سازی بدافزار، کاربر باید مراحل نصب را طی کند؛ در حالی که تصور می‌کند در حال نصب نرم‌افزار Zoom است، در واقع در حال نصب CloudSyncD است.
این Dropper حاوی یک فایل Mach-O جامع است که در زمان اجرا استخراج می‌شود. برای دور زدن مکانیزم System Integrity Protection (SIP) در macOS، بدافزار ابتدا تلاش می‌کند کد را مستقیماً اجرا کند و در صورت شکست، فایل را به‌صورت موقت روی دیسک می‌نویسد و با استفاده از دستور sudo و رمز عبوری که در مراحل فعال‌سازی از کاربر گرفته شده است، آن را اجرا می‌کند.
تحلیل فنی و ارتباط با C2
بدافزار CloudSyncD از طریق یک Daemon با همین نام اجرا می‌شود و پیکربندی آن به‌صورت رمزنگاری شده در فایل باینری ذخیره شده است. تحلیل‌ها نشان می‌دهد که این بدافزار از دو دامنه مجزا برای ارتباط با سرور فرمان و کنترل (C2) استفاده می‌کند. برای پنهان‌سازی ترافیک، مسیرهای URI به‌گونه‌ای طراحی شده‌اند که شبیه به اسکریپت‌های jQuery به نظر برسند تا Beaconهای ارسالی با درخواست‌های معمولی JavaScript اشتباه گرفته شوند.
ویژگی‌ها و اهداف عملیاتی
برخلاف برخی بدافزارهای مشابه، CloudSyncD یک Infostealer نیست. هدف اصلی آن ایجاد دسترسی بلندمدت و مخفیانه برای استقرار بارهای مفید (Payloads) تکمیلی است. این بدافزار اقدامات زیر را انجام می‌دهد:
- پروفایل‌بندی میزبان (Host Profiling) و شناسایی شبکه.
- استخراج جزئیات سیستم و کاربر و ارسال آن‌ها به C2.
- استفاده از رمز عبور کاربر به‌صورت محلی برای کسب دسترسی Root (بدون ارسال رمز به سرور).
این مورد نشان‌دهنده روند تکامل بدافزارهای macOS به سمت پیاده‌سازی‌های Native، استفاده از تکنیک‌های Obfuscation برای رشته‌ها و تلاش برای عدم نوشتن Payload روی دیسک است، هرچند همچنان بر قدیمی‌ترین روش یعنی مهندسی اجتماعی تکیه دارد.
