06/10/2026 · VietTechies · Biên tập
Công ty bảo mật Jamf Threat Labs đã phát hiện một dòng mã độc mới trên Mac mang tên CloudSyncD, hoạt động dưới lớp vỏ là bộ cài đặt ứng dụng Zoom. Thay vì khai thác các lỗ hổng zero-day trong hệ điều hành macOS, mã độc này sử dụng kỹ thuật thao túng tâm lý (social engineering) để lừa người dùng tự tay tắt các lớp phòng thủ như Gatekeeper và cấp quyền quản trị viên.
Cách CloudSyncD qua mặt hàng rào Gatekeeper
CloudSyncD được phát tán dưới dạng tệp ảnh đĩa (disk image) mount với tên Zoom, đi kèm giao diện trực quan được thiết kế tinh vi nhằm bắt chước cửa sổ cài đặt phần mềm hợp pháp. Hình nền của trình cài đặt hiển thị các hướng dẫn chi tiết, điều hướng người dùng mở Cài đặt hệ thống (System Settings), truy cập Quyền riêng tư & Bảo mật (Privacy & Security), sau đó chọn Vẫn mở (Open Anyway) để bỏ qua quy trình kiểm tra xác thực (notarization) của macOS.
Sau khi được kích hoạt, tệp cài đặt hiển thị một hộp thoại cấp quyền giả mạo yêu cầu nhập mật khẩu quản trị viên. Mã độc sẽ kiểm tra mật khẩu này với tài khoản Mac cục bộ và lặp lại yêu cầu cho đến khi người dùng nhập chính xác. Để tránh bị phát hiện ngay lập tức, trình cài đặt giấu mật khẩu đã xác thực bên trong một tệp cấu hình Zoom ngụy trang, có chứa các ký tự Unicode ẩn thay vì truyền trực tiếp mật khẩu qua mạng.
Tính năng backdoor và tiến trình chiến dịch
Bằng việc sử dụng quyền quản trị viên vừa thu thập được, CloudSyncD chạy một backdoor ẩn tương thích với cả máy Mac dùng chip Apple Silicon lẫn Intel. Mã độc thu thập các thông số hệ thống—bao gồm ID phần cứng, loại CPU, dung lượng RAM, phiên bản macOS và tên người dùng—rồi gửi về máy chủ điều khiển (C2). Backdoor này sẽ truy vấn máy chủ mỗi 8 đến 16 giây một lần để tải về và thi hành các tệp thực thi hoặc tệp nén bổ sung.
Jamf Threat Labs lần đầu ghi nhận mẫu mã độc CloudSyncD vào ngày 15 tháng 9 năm 2026. Mặc dù các biến thể ban đầu chưa tích hợp các tính năng đánh cắp thông tin chuyên sâu như dữ liệu trình duyệt hay Keychain, các mẫu phát hiện sau đó đã thể hiện sự tương tác chủ động với hạ tầng điều khiển đang hoạt động. Jamf lưu ý rằng mã độc này hiện chưa gắn liền với nhóm tấn công cụ thể nào. Người dùng có thể phòng tránh nguy cơ bằng cách chỉ tải phần mềm từ các kênh chính thức như zoom.us hoặc Mac App Store, đồng thời từ chối mọi yêu cầu bypass Gatekeeper từ các trình cài đặt.
Ảnh minh họa do AI tạo, không phải ảnh tư liệu.
Nguồn: Fake Zoom installer tricks Mac users into bypassing Gatekeeper