安全机构 Jamf Threat Labs 于 10 月 2 日发布报告，揭露了一种新型 macOS 恶意木马 CloudSyncD。该木马通过伪装成 Zoom 会议软件的安装包传播，并利用所谓的“安装指引”诱使用户关闭 macOS 内置的 Gatekeeper 防护功能，同时输入管理员密码。一旦用户按照这些“安装步骤”执行，攻击者就能在 Mac 上建立隐蔽的后门。

Jamf Threat Labs 指出，黑客主要通过仿冒网站传播 CloudSyncD 恶意木马，这些钓鱼安装程序的界面与普通 Mac 安装程序高度相似，主要区别在于背景图片中列出了所谓的“安装步骤”。根据这些提示，用户需打开“系统设置”，进入“隐私与安全性”，找到相关应用后点击“仍要打开（Open Anyway）”，随后输入 Mac 管理员密码。

用户完成上述操作后，恶意安装程序还会弹出一个伪造的授权窗口，再次要求输入管理员密码。CloudSyncD 会将输入的密码与当前 Mac 账户进行比对，如果密码错误则继续要求输入，直至获取正确密码。

值得关注的是，CloudSyncD 并不会立即将管理员密码发送给黑客，而是将其存储在一个伪装成普通 Zoom 配置文件的文档中，并利用不可见的 Unicode 字符标记密码位置。随后，后门程序会读取该密码，并借助管理员权限在系统中运行。

此后，该恶意软件会每隔约 8 至 16 秒向服务器查询新指令。攻击者可以下发可执行文件或压缩包，从而为后续远程部署其他恶意工具提供便利。

安全机构建议，对于 Mac 用户来说，最简便的防范措施是仅通过 App Store 下载应用。此外，用户不应仅因所谓的“安装程序提示”就输入管理员密码，大多数正常 macOS 应用不会要求用户输入密码。用户应在确认软件来源前避免继续安装，以防被黑客利用。