Un finto installer di Zoom per Mac, individuato dalla società di cybersecurity Jamf, prova a convincere gli utenti a autorizzare manualmente l’apertura di un’app bloccata da Gatekeeper. Il pacchetto installa davvero Zoom, ma aggiunge anche un infostealer progettato per catturare dati inseriti dall’utente e inviarli agli aggressori.
Il punto critico non è un aggiramento tecnico invisibile: il file mostra una procedura che invita ad aprire le impostazioni di sistema, autorizzare l’app e inserire la password di amministratore. È quindi l’utente a consentire l’apertura dell’app non notarizzata nonostante il blocco previsto da Gatekeeper.
Come si presenta il finto installer di Zoom
Jamf ha chiamato il malware CloudSyncD. Arriva sotto forma di immagine disco che, una volta aperta, monta un volume denominato Zoom e riproduce la struttura familiare di molti installer per Mac: l’icona dell’applicazione su un lato e il collegamento alla cartella Applicazioni sull’altro.
La differenza è nello sfondo della finestra. Al posto di una grafica neutra, il pacchetto visualizza una lista numerata di passaggi per completare la presunta configurazione. Le istruzioni chiedono di aprire Impostazioni di Sistema, entrare in Privacy e Sicurezza, raggiungere la sezione Sicurezza, selezionare “Apri comunque” e inserire la password di amministratore.
Quella sequenza corrisponde alla procedura con cui macOS consente eccezionalmente di avviare software bloccato da Gatekeeper. In condizioni normali, il sistema rifiuta l’apertura di applicazioni che Apple non ha notarizzato; esiste una strada per autorizzarle, ma richiede un intervento esplicito. CloudSyncD punta proprio a rendere quel passaggio apparentemente normale, presentandolo come parte dell’installazione di Zoom.
Zoom viene installato, ma arriva anche l’infostealer
L’elemento più insidioso è che l’installer non si limita a imitare il programma di videoconferenza. Secondo Jamf, installa effettivamente Zoom e, insieme all’app legittima, deposita l’infostealer. La presenza del software atteso può rendere meno evidente ciò che è avvenuto in secondo piano.
Una volta attivo, il malware può registrare dati digitati dall’utente e trasmetterli al server controllato dagli aggressori. La fonte riferisce che l’invio può avvenire con una frequenza fino a una volta ogni otto secondi. Non vengono indicati nel resoconto i singoli tipi di informazioni presi di mira né il numero di persone eventualmente coinvolte.
Il caso mostra perché la finestra di Gatekeeper non vada trattata come un semplice ostacolo da rimuovere. La protezione può essere superata volontariamente per autorizzare l’apertura di un’app bloccata, ma la richiesta di fornire credenziali amministrative dovrebbe restare un segnale da valutare con attenzione, soprattutto quando compare durante un’installazione inattesa.
Da dove installare le applicazioni per Mac
La raccomandazione riportata dalla fonte è scaricare le app per Mac dall’App Store ufficiale oppure dai siti degli sviluppatori ritenuti affidabili. Per Zoom significa evitare immagini disco ricevute tramite canali non verificati o pagine che imitano il servizio.
La distinzione è importante perché il nome del file, il volume chiamato Zoom e l’icona dell’app non sono elementi sufficienti a dimostrare l’origine del download. CloudSyncD sfrutta proprio un’interfaccia conosciuta e istruzioni dettagliate per accompagnare la vittima fino al punto in cui viene autorizzata l’apertura di un’app bloccata da macOS.
Domande frequenti
Che cos’è CloudSyncD?
È il nome attribuito da Jamf al malware distribuito attraverso un finto installer di Zoom per Mac. Il pacchetto installa Zoom, ma include anche un infostealer.
In che modo il malware supera Gatekeeper?
Non forza direttamente Gatekeeper: visualizza istruzioni che inducono l’utente a scegliere “Apri comunque” nelle impostazioni di macOS e a inserire la password di amministratore.
Quali dati può raccogliere?
Jamf riferisce che l’infostealer può catturare dati inseriti dall’utente e inviarli agli aggressori, anche ogni otto secondi. Il resoconto non specifica quali categorie di dati vengano raccolte.
Come evitare questo installer contraffatto?
La raccomandazione riportata dalla fonte è installare le app dall’App Store ufficiale o dai siti di sviluppatori affidabili, senza seguire procedure ricevute da fonti non verificate che chiedono di autorizzare l’apertura di app bloccate da macOS.
Considerazioni finali
Questo attacco è particolarmente efficace perché non punta a sembrare sofisticato sul piano tecnico: sfrutta un gesto che molti utenti associano a una normale installazione. Inserire Zoom accanto al malware riduce ulteriormente i sospetti, dato che l’app desiderata compare davvero sul Mac.
Il dettaglio decisivo resta la richiesta di autorizzare l’apertura di un’app bloccata da Gatekeeper e fornire la password amministrativa. Una procedura guidata non rende affidabile un installer: in questo caso è proprio il meccanismo usato per indurre l’utente a superare il blocco imposto da macOS.