Falešný Zoom pro Mac radí obejít Gatekeeper: jak podvod poznat

Na Macy míří falešný instalátor Zoomu, který vypadá jako ten pravý. Místo technické díry ale využívá důvěřivost: obrázek v okně instalátoru vás krok za krokem navede, abyste ochranu Macu obešli sami a zadali heslo. Vysvětlíme, jak podvod poznat, odkud Zoom stahovat bezpečně a co dělat, když už jste instalátor spustili.

Co se stalo: Jamf našla falešný Zoom s návodem na obejití ochrany

Bezpečnostní tým Jamf Threat Labs zveřejnil ve středu 30. září podrobný rozbor škodlivého programu, který pojmenoval CloudSyncD. Vydává se za instalátor Zoomu, oblíbené aplikace na videohovory. Výzkumníci na něj narazili při běžném sledování souborů ve službě VirusTotal.

První verzi zachytili 15. září. Byla ještě zjevně ve vývoji. Už o dva dny později ale Jamf našla nové verze napojené na skutečné servery útočníků na více doménách. Podle výzkumníků se tak útočníci posunuli od testování k ostrému nasazení. Ke známé skupině útočníků se malware zatím nepodařilo přiřadit.

Malware funguje na Macích s čipy Apple i na starších Macích s procesory Intel.

Jak trik funguje: návod schovaný v obrázku

Když si stáhnete falešný instalátor, otevře se obraz disku pojmenovaný Zoom. Vypadá úplně běžně: vlevo ikona aplikace, vpravo zástupce složky Aplikace, kam se ikona přetahuje. Rozdíl je jen v obrázku na pozadí okna. Je na něm očíslovaný „návod k instalaci“, který vás vyzve, abyste:

• otevřeli Nastavení systému,
• přešli do Soukromí a zabezpečení,
• sjeli dolů do části Zabezpečení,
• klikli na tlačítko Přesto otevřít,
• zadali heslo správce.

Přesně tohle je postup, kterým se pro konkrétní aplikaci obchází ochrana Gatekeeper. Program totiž nemá řádný podpis vývojáře, takže ho Mac při dvojkliknutí odmítne spustit. Obrázek uživatele provede tím, jak toto odmítnutí ručně obejít.

Server Cult of Mac to shrnuje výstižně: malware obranu Macu neprolomí, nechá to udělat samotného uživatele.

Po spuštění se objeví falešné okno s žádostí o heslo („Enter your password to allow this.“). Program heslo ověří proti vašemu účtu na Macu a okno opakuje tak dlouho, dokud nezadáte správné. K tomu ukazuje okno „Downloading Zoom…“ s ukazatelem průběhu. Ve skutečnosti se ale nic nestahuje.

Co malware na Macu dělá

Zadané heslo si malware schová do nenápadného souboru, který vypadá jako běžné nastavení Zoomu. Pak ho použije ke spuštění druhé části programu se zvýšenými oprávněními. Ta odešle útočníkům základní údaje o počítači (model, procesor, paměť, verzi macOS, uživatelské jméno) a potom se jim každých 8 až 16 sekund ozývá a čeká na pokyny.

Útočník tak má na Macu takzvaná zadní vrátka. Přes ně umí do počítače poslat a spustit další programy, tedy kdykoli později doručit další škodlivé nástroje.

Weby 9to5Mac a Macworld označily CloudSyncD za program na krádež dat, který posílá zadané údaje útočníkům až každých osm sekund a vedle toho nainstaluje skutečný Zoom. Jamf jako autor výzkumu to ale nepotvrzuje: heslo malware nikam neposílá a funkce na krádež dat z prohlížeče, Klíčenky ani kryptoměnových peněženek nemá. Pravidelná komunikace je jen ohlášení počítače serveru a skutečný Zoom se v zachycených verzích nenainstaloval.

Neznamená to, že je malware neškodný. Kdo má na vašem Macu zadní vrátka se zvýšenými oprávněními, může tam později nahrát cokoli, včetně programu na krádež hesel. Trvalé uhnízdění v systému (spouštění po restartu) ale Jamf při testech nepozorovala.

Co je Gatekeeper a proč ho nemáte obcházet

Gatekeeper je podle podpory Applu technologie, která hlídá, aby se na Macu spouštěl jenom důvěryhodný software. Funguje ve dvou krocích:

• Podpis vývojáře: u aplikací mimo App Store macOS ověří, že pocházejí od známého vývojáře a nikdo je nepozměnil.
• Notarizace: od macOS Catalina Mac ve výchozím nastavení vyžaduje, aby Apple aplikaci předem zkontroloval na škodlivý software.

Když aplikace kontrolou neprojde, Mac zobrazí varování, například že Apple nemůže zkontrolovat, jestli aplikace neobsahuje škodlivý software. Jindy upozorní, že vývojáře aplikace není možné ověřit. Pokud macOS rozpozná známý malware, aplikaci neotevře a rovnou ji přesune do koše. Pokud už útočník na Macu spouští vlastní kód, může ověřenou appku i tiše vyměnit za malware, což Apple neopraví.

Tlačítko Přesto otevřít v Nastavení systému existuje pro výjimečné situace, kdy si jste naprosto jistí původem aplikace. Apple sám upozorňuje, že spouštění nepodepsaného a neověřeného softwaru může vystavit váš počítač i osobní údaje malwaru. Aplikace, kterou takto pustíte, se navíc uloží jako výjimka z bezpečnostních nastavení a příště se otevře běžným dvojitým kliknutím bez dalšího varování.

Tip: Návod v okně instalátoru, který vás posílá do Soukromí a zabezpečení k tlačítku Přesto otevřít, je výrazný varovný signál. Oficiální instalace Zoomu nic takového nevyžaduje. Jakmile takový návod uvidíte, instalaci zastavte a obraz disku vyhoďte do koše.

Jak poznat falešný instalátor Zoomu

Pravý Zoom pro Mac se podle podpory Zoomu stahuje z oficiálního centra stahování na zoom.us, kde si vyberete verzi pro čip Apple nebo pro Intel. Stáhne se instalační balíček s názvem zoomusInstallerFull.pkg, obvykle do složky Stažené. Po otevření se spustí klasický průvodce instalací. Tlačítko Přesto otevřít v oficiálním postupu Zoomu nefiguruje.

Podezřelé jsou naopak tyto signály:

• Obraz disku s návodem v obrázku: okno, kde máte ikonu přetáhnout do Aplikací a na pozadí je seznam kroků přes Nastavení systému.
• Výzva k tlačítku Přesto otevřít: oficiální instalace Zoomu tento krok nepotřebuje.
• Opakované okno s heslem hned po spuštění aplikace: pravý instalátor Zoomu se může zeptat na heslo správce, ale až v klasickém průvodci instalací, například při instalaci pro všechny uživatele. Okno, které se po zadání hesla stále vrací, je podezřelé.
• Odkaz od cizího člověka: podle Cult of Mac útočníci falešné instalátory Zoomu často kombinují s falešnými pracovními pohovory nebo obchodními schůzkami. Někdo vám pošle odkaz a požádá vás, ať si Zoom kvůli hovoru nainstalujete.

Macworld k tomu připomíná osvědčený trik: odkaz z e-mailu nebo zprávy neotvírejte naslepo. Klikněte na něj se stisknutou klávesou Control, zvolte zkopírování adresy odkazu a vložte ji do textového editoru. Hned uvidíte, jestli opravdu vede na zoom.us. Podvodné adresy často jen připomínají pravou doménu.

Poslední bod se CloudSyncD netýká, ale patří ke stejné rodině triků. Kampaně typu ClickFix vás místo tlačítka Přesto otevřít přesvědčují, abyste vložili příkaz do Terminálu. Princip je stejný: škodlivý krok uděláte vlastní rukou. Podle jaké věty takový útok poznáte, vysvětluje návod, jak poznat podvod ClickFix.

Co dělat, když už jste instalátor spustili

Pokud jste falešný Zoom spustili a zadali heslo, nepanikařte, ale jednejte hned:

• Odpojte Mac od internetu: vypněte Wi-Fi nebo vytáhněte kabel. Zadní vrátka bez spojení nedostanou od útočníka žádné pokyny.
• Smažte stažený instalátor: obraz disku i aplikaci Zoom, kterou jste z něj spustili, přesuňte do koše a koš vysypte.
• Změňte heslo k Macu: malware ho zná. Podle podpory Applu to jde, když jste přihlášení, na panelu Uživatelé a skupiny v Nastavení systému. Heslo k Macu je jiné než heslo k účtu Apple.
• Změňte další důležitá hesla: pokud jste stejné heslo používali jinde (e-mail, banka, účet Apple), změňte ho tam taky, ideálně z jiného, čistého zařízení.
• Obraťte se na odborníky: u pracovního Macu ihned informujte IT oddělení. U soukromého počítače se obraťte na podporu Applu nebo na servis. Útočník mohl mezitím doručit další programy, které z venku nepoznáte.

Jamf v rozboru uvádí i soubory, které malware po sobě nechává ve vaší domovské složce (například data.json ve skryté složce .config/zoom). Jejich hledání a mazání ale vyžaduje práci se skrytými složkami. Pokud si nejste jistí, nechte kontrolu na odborníkovi a soubory ručně nemažte.

Proč se to týká i českých uživatelů

Zoom se v Česku běžně používá na pracovní porady, online výuku i pracovní pohovory. Právě situace „za chvíli máme hovor, nainstalujte si Zoom“ je přitom podle serveru Cult of Mac oblíbenou návnadou. O cílení kampaně na konkrétní zemi ani o počtu napadených Maců výzkumníci nic neuvádějí, rady ale platí stejně u nás jako kdekoli jinde. Aktualizovat je přitom potřeba i pravý Zoom, jak ukázala chyba v Zoomu umožňující ovládnutí iPhonu i Macu.

Falešný Zoom zapadá do delší řady útoků na Mac, které nestojí na chybě v systému, ale na tom, že uživatel sám povolí něco, co by neměl. Podobně fungovala třeba falešná aplikace Maccy s malwarem PamStealer, kterou rovněž popsal tým Jamf. Na to, jakou kontrolu nad daty na Macu mohou mít aplikace, se Apple nově zaměřuje i kvůli AI agentům, jak popisuje článek o zpřísnění Plného přístupu k disku.

Nejčastější otázky o falešném instalátoru Zoomu

Jak se falešný Zoom na Mac dostane?

Jak se šíří právě CloudSyncD, výzkumníci neuvádějí. Falešné instalátory Zoomu ale podle serveru Cult of Mac často přicházejí jako odkaz při domluvě na pracovní pohovor nebo obchodní schůzku s žádostí, ať si Zoom kvůli hovoru nainstalujete. Stáhnete obraz disku, který vypadá jako běžný instalátor.

Obchází malware Gatekeeper sám?

Ne. Gatekeeper ho zablokuje, protože nemá řádný podpis. Obrázek v okně instalátoru vás ale navede, abyste blokaci zrušili sami v Nastavení systému tlačítkem Přesto otevřít a zadali heslo.

Krade CloudSyncD hesla z Klíčenky nebo kryptoměny?

Podle výzkumníků z Jamfu v zachycených verzích ne. Nemá na to vestavěné funkce a vaše heslo k Macu útočníkům neposílá. Otevírá jim ale zadní vrátka, přes která mohou později nahrát jiné škodlivé programy, takže riziko je vážné.

Kdy je v pořádku kliknout na Přesto otevřít?

Jen když aplikaci znáte, víte, odkud pochází a jste si jistí, že ji nikdo nepozměnil. Nikdy ne proto, že vás k tomu navádí okno instalátoru nebo neznámý člověk.

Odkud Zoom na Mac stahovat?

Z oficiálního webu zoom.us, kde si v sekci ke stažení vyberete verzi pro čip Apple nebo Intel. Pravý instalátor je balíček zoomusInstallerFull.pkg s klasickým průvodcem instalací.

Pomůže antivirus?

Mac má vestavěnou ochranu, která známý malware rozpozná a přesune do koše. Úplně nový malware ale žádná ochrana nemusí poznat hned. Nejspolehlivější obranou proto zůstává nespouštět nic, co vás vede k obejití ochrany Macu.

Co mám udělat jako první, když jsem instalátor spustil?

Odpojte Mac od internetu, smažte stažené soubory, změňte heslo k Macu a další hesla, která jste používali stejně. Pak kontaktujte IT oddělení nebo servis.

Závěr

Falešný Zoom neobchází Mac žádnou chytrou technickou dírou. Spoléhá na to, že uvěříte návodu v obrázku a ochranu obejdete sami. Pravidlo, které vás ochrání před ním i před většinou podobných útoků, je jednoduché: aplikace stahujte z App Storu nebo z oficiálního webu výrobce a tlačítko Přesto otevřít nikdy nepoužívejte podle pokynů z okna instalátoru.