Un instalador falso de Zoom está engañando a los usuarios de Mac para que entreguen sus contraseñas de inicio de sesión y ejecuten CloudSyncD, una puerta trasera (backdoor) recientemente identificada. El malware se oculta dentro de una aplicación con apariencia familiar, utilizando instrucciones de instalación y avisos falsos para convertir una configuración rutinaria en una infección con privilegios. La primera muestra fue detectada el 15 de septiembre de 2026.

Un instalador falso de Zoom está engañando a los usuarios de Mac para que entreguen sus contraseñas de inicio de sesión y ejecuten CloudSyncD, una puerta trasera recientemente identificada.

El malware se oculta dentro de una aplicación que parece familiar, utilizando instrucciones de instalación y avisos falsos para convertir una configuración rutinaria en una infección con privilegios.

La primera muestra apareció el 15 de septiembre de 2026, mientras aún estaba en desarrollo. En dos días, los investigadores encontraron versiones relacionadas que apuntaban a servidores de comandos accesibles en dos dominios, lo que sugiere un movimiento hacia el despliegue.

El informe no establece el número de infecciones, las organizaciones afectadas ni las pérdidas confirmadas. Los investigadores de Jamf Threat Labs identificaron el malware durante el monitoreo rutinario de ejecutables subidos a VirusTotal.

Jamf indicó en un informe que CloudSyncD utiliza dos etapas, y que la puerta trasera ya está integrada dentro del instalador en lugar de ser descargada por separado.

El riesgo inmediato es la ejecución no autorizada con privilegios elevados y la creación de un canal para programas maliciosos adicionales.

Aunque el señuelo de la contraseña se parece a un robador de información, los investigadores no encontraron una colección integrada de registros del navegador, elementos del llavero o carteras de criptomonedas, lo que lo distingue de las recientes campañas del malware MacSync que combinan el robo con el acceso remoto.

El instalador falso de Zoom engaña a los usuarios de Mac

La imagen de disco presenta un diseño de instalación familiar, combinando el icono de una aplicación con un acceso directo a Aplicaciones. Su fondo añade instrucciones paso a paso que dirigen a los usuarios a Ajustes del Sistema, luego a Privacidad y Seguridad, donde se les indica que seleccionen "Abrir de todos modos" e introduzcan su contraseña de administrador.

Estas instrucciones evaden Gatekeeper porque la aplicación carece de una firma de desarrollador confiable. El enfoque depende de la persuasión más que de un exploit del sistema operativo, imitando las falsas actualizaciones de software de conferencias que animan a la gente a anular las salvaguardas mientras creen que están completando una instalación legítima.

Después del lanzamiento, un cuadro de diálogo de autorización falso solicita la contraseña del usuario. El instalador verifica la respuesta con la cuenta local y repite el aviso hasta que la autenticación tenga éxito. Una ventana falsa de progreso de descarga ayuda a mantener la apariencia de un proceso de configuración normal.

La contraseña capturada se oculta dentro de un archivo de configuración aparentemente ordinario. Su valor codificado en base64 se encuentra entre caracteres de relleno aleatorios, mientras que 48 caracteres Unicode invisibles añadidos al campo de versión identifican su posición y longitud.

El informe describe el almacenamiento local, pero no la transmisión de la contraseña a los atacantes. El instalador primero intenta lanzar su carga útil integrada sin dejar un ejecutable convencional en el disco.

Ese intento falló durante las pruebas debido a las protecciones de macOS. Luego escribe una copia temporal y utiliza la contraseña capturada para ejecutar la puerta trasera con privilegios elevados.

La puerta trasera espera cargas útiles adicionales

CloudSyncD es compatible tanto con Mac con chip de Apple como con Intel. En el primer contacto, envía una encuesta del dispositivo que contiene detalles del hardware, información del sistema operativo, nombres de la cuenta y de la máquina, e información de red.

Las comprobaciones posteriores llevan solo el identificador del hardware, observándose tráfico de versiones activas cada ocho o 16 segundos. El servidor puede devolver tareas cifradas que contienen programas ejecutables, ya sea directamente o dentro de archivos comprimidos.

Esto difiere de una shell remota convencional: los investigadores esperan binarios recién lanzados en lugar de comandos de shell arbitrarios, lo que hace que el monitoreo de procesos sea importante al investigar actividad sospechosa.

Sus endpoints imitan solicitudes de una biblioteca de JavaScript, ayudando a que el tráfico parezca actividad web ordinaria. Ambas etapas aceptan cualquier certificado de servidor presentado. El material de cifrado compartido entre las versiones analizadas también ofrece a los defensores una forma de correlacionar muestras y decodificar las comunicaciones capturadas.

Los registros cifrados pueden revelar el servidor contactado, el identificador del dispositivo y el historial de comprobaciones. Los investigadores también señalaron que la validación de la contraseña expone la credencial suministrada en los argumentos del proceso, creando una oportunidad útil de detección.

Los investigadores no observaron persistencia, un reemplazo completo de la aplicación ni la entrega de tareas remotas. A diferencia de las infecciones por puertas traseras de CAPTCHA falsos que establecen mecanismos de inicio, las muestras probadas permanecieron en sus ubicaciones de preparación.

Esas limitaciones son importantes: la evidencia disponible respalda una puerta trasera privilegiada funcional, pero no todas las funciones previstas. Jamf recomienda bloquear y reportar amenazas similares a través de protecciones web y de endpoints.

Para la investigación, su informe destaca los registros cifrados del implante, los caracteres invisibles en los archivos de configuración, los patrones de carga útil temporal y las líneas de comandos de validación de contraseñas. Los indicadores de fuente completos a continuación conservan esos detalles de búsqueda sin añadir hashes no publicados.

Fuentes:
https://cybersecuritynews.com/fake-zoom-installer-tricks/