קובץ ה-DMG נפתח ומציג בדיוק את מה שמשתמש מק מצפה לראות: אייקון של אפליקציה בצד אחד, קיצור דרך לתיקיית Applications בצד השני, והכול תחת השם Zoom. ההבדל מתחיל בהוראות שמופיעות לידו. הן מסבירות שכדי להשלים את ההתקנה צריך להיכנס להגדרות המערכת, לאשר שם ידנית אפליקציה שהמק חסם, ואחר כך להקליד את סיסמת המשתמש. מי שעושה את זה לא מתקין זום.

מה קרה

חוקרי Jamf Threat Labs נתקלו בנוזקה ב-15 בספטמבר, בגרסה שהייתה עדיין בפיתוח: כתובת שרת השליטה הצביעה על רשת פרטית, ורישום ההודעות המפורט נשאר דולק. תוך יומיים הם מצאו גרסאות נוספות של אותה משפחה, הפעם מכוונות לשני שרתים אמיתיים באינטרנט. מי שכתב אותה סיים לבדוק והתחיל להפעיל. הם קראו לה CloudSyncD, על שם ה-service שהיא מריצה במק.

ה-bundle חתום בחתימה מאולתרת שלא נרשמה אצל אפל, ולכן Gatekeeper, המנגנון שחוסם במק הרצה של תוכנה שלא אומתה, לא נותן לו לרוץ. התוקפים לא עקפו את זה בקוד. הם ביקשו מהמשתמש לעשות את זה בשבילם, דרך ההגדרות, ואז הציגו חלון שכתוב בו "Enter your password to allow this".

הסיסמה שמוקלדת שם נבדקת מקומית מול המערכת, מקודדת, ונדחסת לקובץ בשם data.json בתיקייה נסתרת. כדי שלא תבלוט שם, היא עטופה בעשרות תווי מילוי אקראיים, והמקום המדויק שלה נרשם בשדה השכן באמצעות 48 תווי יוניקוד ברוחב אפס, תווים שקיימים בקובץ ולא נראים על המסך.

כל הטרחה הזאת נחוצה לשלב השני, שצריך הרשאות root. הוא נושא בתוכו קובץ הרצה במשקל 756 קילובייט, מנסה קודם להריץ אותו בלי לכתוב אותו לדיסק, נכשל בגלל הגנת SIP של macOS, ואז כותב אותו לדיסק ומריץ אותו עם sudo והסיסמה שנאספה. משם הוא אוסף פרטים על המחשב, מספר הליבות, נפח הזיכרון, שם המשתמש, דגם המכשיר וכתובת ה-MAC, ושולח אותם לשרת שלו בפנייה שמחופשת לטעינה של ספריית jQuery.

ונקודה אחת למען הדיוק: Jamf מדגישה שהסיסמה עצמה לא נשלחת לשום מקום, ושהנוזקה לא מכילה רכיב שגונב סיסמאות מהדפדפן, מה-keychain או מארנקי קריפטו. היא משמשת רק להשגת root על המחשב עצמו. מה שנשאר אחריה הוא גישה, והיכולת להוריד ולהריץ מה שיבוא אחר כך.

למה זה חשוב לכם

זום מותקן בישראל על מחשבים פרטיים, בעבודה ובלימודים, וזו לא הפעם הראשונה החודש שקמפיין נשען על התחפושת הזאת. אבל הלקח כאן הוא לא על זום. הוא על הרגע שבו קובץ התקנה מבקש מכם לעקוף הגנה של המערכת: במק, סיסמת המשתמש היא המפתח לכל המכשיר, ומי שמשיג אותה מקבל root. התקנה לגיטימית לא צריכה שתאשרו אותה ידנית במסך הפרטיות והאבטחה.

מה עושים?

אם קובץ התקנה מנחה אתכם להיכנס להגדרות המערכת ולאשר ידנית אפליקציה חסומה, עצרו שם. זו לא תקלה שצריך לעקוף, זו ההגנה עושה את העבודה שלה.

הורידו זום מ-zoom.us או מה-App Store, ולא מקישור שהגיע בהודעה או מתוצאת חיפוש ממומנת.

אם כבר הקלדתם סיסמה בחלון כזה, החליפו אותה ממכשיר אחר, ואת הסיסמאות של החשבונות המרכזיים שלכם גם כן.

ובאותו מחשב, פתחו את מנטר הפעילות וחפשו service בשם cloudsyncd, עברו על פריטי ההתחברות בהגדרות המערכת, והריצו סריקה בכלי אבטחה מוכר. Jamf מציינת שבמקרים שבדקה הנוזקה לא הקימה מנגנון שישמור לה אחיזה אחרי אתחול, אבל זה יכול להשתנות בגרסה הבאה.

הגנה שאתם מכבים בעצמכם, לבקשת הקובץ שאתם מתקינים, היא לא הגנה.