[해외보안뉴스] 가짜 Zoom 설치 프로그램으로 macOS 사용자 노리는 CloudSyncD 백도어 발견
· 2026-10-03 01:00
· 조회 29
· 원문 ↗
macOS 사용자를 겨냥해 화상회의 솔루션인 Zoom의 가짜 설치 프로그램을 유포하고, 이를 통해 'CloudSyncD' 백도어를 감염시키는 악성코드 공격이 발견되었습니다. 공격에 사용된 드로퍼(Dropper)는 내부에 약 756KB 크기의 완전한 유니버설 Mach-O 바이너리를 포함하고 있으며, 프로그램이 실행되는 시점에 백도어를 추출하여 몰래 동작시키는 방식을 취하고 있습니다.
이번 공격의 주요 영향 범위는 공식 웹사이트가 아닌 피싱 사이트나 비공식 경로를 통해 Zoom 설치 파일을 다운로드하여 실행한 macOS 사용자들입니다. 가짜 설치 프로그램은 정상적인 소프트웨어 설치 과정처럼 위장하여 사용자의 의심을 피하며, 일단 설치된 CloudSyncD 백도어는 공격자가 피해자의 시스템에 원격으로 접근하여 민감한 정보를 탈취하거나 추가 악성코드를 다운로드할 수 있는 통로 역할을 합니다.
이러한 보안 위협에 대응하기 위해서는 반드시 Zoom 공식 웹사이트나 macOS 전용 앱 스토어와 같은 검증된 출처에서만 프로그램을 다운로드해야 합니다. 또한, 출처가 불분명한 파일 실행 시 나타나는 macOS 게이트키퍼(Gatekeeper)의 보안 경고를 무시하지 않는 습관이 중요하며, 보안 프로그램을 최신 상태로 유지하여 의심스러운 프로세스 동작을 실시간으로 감지하고 차단해야 합니다.
♥ 추천 0
Universal Mach-O 바이너리를 드로퍼 내부에 숨겨 런타임에 동적으로 추출·실행하는 방식은 정적 패키지 분석을 우회하려는 전형적인 테크닉입니다.
배포 아키텍처 관점에서 빌드 파이프라인(CI/CD) 단에 인스톨러 내부의 미인증 실행 파일 포함 여부를 스캔하는 로직을 추가하고, 엄격한 코드 서명(Code Signing)과 노터라이제이션(Notarization) 검증을 강제해야 합니다.
또한 엔드포인트/앱 수준에서도 임시 디렉터리에서 바이너리를 동적으로 생성하고 실행하는 행위를 차단하도록 샌드박싱 정책을 강화하는 패치가 필요해 보입니다.
화상회의 솔루션을 위장한 사회공학적 공격은 기업 사용자 대상의 초기 침투(Initial Access) 벡터로 여전히 유효하고 강력합니다. 특히 런타임에 Mach-O 바이너리를 추출하여 실행하는 드로퍼 구조는 정적 분석 체계 및 시그니처 기반 탐지를 손쉽게 우회할 수 있습니다. 개발자나 주요 임원진의 사용률이 높은 macOS 특성상, 이번 CloudSyncD 백도어 확보를 시작으로 내부망 추가 침투(Lateral Movement)까지 이어질 악용 가능성이 매우 높습니다.
macOS 역시 더 이상 보안의 안전지대가 아니며, Zoom과 같은 필수 협업 소프트웨어를 사칭한 표적 공격이 고도화되고 있음을 보여주는 사례입니다. 조직 차원에서는 MDM(기기 관리 솔루션) 정책을 즉시 점검하여 비인가 설치 파일의 실행을 원천 차단하고 Mac 단말에 대한 EDR 모니터링을 강화해야 합니다. 아울러 임직원이 반드시 검증된 공식 채널을 통해서만 프로그램을 다운로드하도록 보안 가이드를 재공지하고 내부 통제 프로세스를 정비하겠습니다.