一种名为 CloudSyncD 的 macOS 恶意木马，通过伪装成 Zoom 安装程序诱导用户授权，进而在 Mac 上建立隐藏后门。据IT之家10月2日报道，安全公司 Jamf Threat Labs 披露了这一攻击方式：木马主要借助山寨网站传播，关键诱导内容藏在所谓的“安装说明”中。
这些钓鱼安装程序的界面与普通 Mac 安装程序十分相似，异常主要出现在背景图片上。图片列出的“安装步骤”要求用户打开“系统设置”，进入“隐私与安全性”，找到相关应用后点击“仍要打开（Open Anyway）”，随后输入管理员密码，以绕过 macOS 内置的 Gatekeeper 安全机制。
用户完成上述操作后，恶意安装程序还会弹出伪造的授权窗口，再次索取管理员密码。CloudSyncD 会用当前 Mac 账户验证输入内容；如果密码错误，就继续要求输入，直到获得正确密码。这并非一次普通的安装确认，而是攻击程序获取有效管理员凭据的环节。
据 Jamf Threat Labs 披露，CloudSyncD 不会直接把管理员密码发送给攻击者，而是将密码写入一个伪装成普通 Zoom 配置文件的文件，并用不可见的 Unicode 字符标记密码所在位置。随后，后门程序读取该密码，借助管理员权限在系统中运行。
后门运行后，恶意软件会每隔约8至16秒向服务器查询新指令。攻击者既可以下发可执行文件，也可以发送压缩文件，为远程部署其他恶意工具提供条件。此次披露针对的是借 Zoom 安装程序外观传播的恶意木马，后门建立依赖用户按照伪造说明操作并提供有效管理员密码。