가짜 줌 설치파일 CloudSyncD — 암호 입력했다면 확인할 것

보안업체 Jamf Threat Labs가 9월 30일, 줌(Zoom)으로 위장한 가짜 macOS 설치 파일 안에서 ‘CloudSyncD’라는 백도어를 발견했다고 공개했다. 특이한 점은 이 악성코드가 2단계로 나뉘어 움직인다는 것이다. 1단계는 가짜 암호 입력창으로 맥 로그인 암호를 받아 내 컴퓨터 안의 파일에 몰래 숨겨 두고, 2단계 백도어는 비밀번호 대신 하드웨어 식별 정보를 공격자 서버로 보낸다. 둘 다 위험하지만 성격이 다르다.

로그인 암호 입력창이 떴다면 지금 확인할 것

• 가짜 줌 설치 파일을 실행하다 “Enter your password to allow this” 같은 암호 입력창에 비밀번호를 넣은 적이 있다면, 그 암호는 공격자 서버로 전송되지는 않았지만(Jamf 관찰 기준) 내 맥 안의 ~/.config/zoom/data.json 파일에 숨겨져 저장됐을 수 있다.
• 별도로 작동하는 cloudsyncd 백도어는 비밀번호가 아니라 하드웨어 UUID·MAC 주소 같은 기기 식별 정보를 공격자 서버로 전송한다. 브라우저에 저장된 비밀번호·키체인·암호화폐 지갑은 이번 공격의 대상이 아니다.
• 지금 할 일은 ~/.config/zoom/과 ~/.local/share/cloudsync/ 폴더가 있는지 확인해 지우고, 가짜 설치 파일을 실행한 적이 있다면 맥 로그인 암호를 바꾸는 것이다.

사진: Jamf 공식 블로그 캡처

가짜 줌 설치파일, Gatekeeper를 어떻게 우회하나

Jamf Threat Labs에 따르면 이 악성코드는 9월 15일 VirusTotal에서 실행 파일을 모니터링하던 중 처음 발견됐고, 이틀 뒤인 9월 17일경 더 정교한 배포 단계로 전환됐다. Jamf가 전체 분석을 공개한 것은 9월 30일이고, 9to5Mac이 10월 1일 이를 보도했다.

공격은 “Zoom”이라는 이름의 디스크 이미지(.dmg)로 시작된다. 이 번들은 임시 서명(ad-hoc signed)돼 있어서, macOS가 이중 클릭 실행을 기본적으로 거부한다. 문제는 그다음이다 — 디스크 이미지 배경 화면에 “시스템 설정 → 개인정보 보호 및 보안 → 보안 → 어쨌든 열기 → 관리자 암호 입력”이라는 단계별 우회 안내가 그림으로 그려져 있다. macOS의 정상적인 보안 경고를 사용자가 스스로 무력화하도록 유도하는 방식이라, 안내를 그대로 따라간 사용자는 자신이 뭘 우회했는지도 모르고 설치를 끝내게 된다.

1단계 — 가짜 암호창이 진짜 함정이다

Gatekeeper를 통과해 실행되면 AuthDialog라는 이름의 가짜 인증창이 뜬다. 문구는 단순하다 — “Enter your password to allow this.”(이것을 허용하려면 비밀번호를 입력하세요) 사용자가 암호를 입력하면, 이 드로퍼는 dscl 명령으로 내 맥 계정에 맞는 암호인지 로컬에서만 확인한다. 여기까지만 보면 전형적인 정보 탈취형(인포스틸러) 악성코드처럼 보이지만, Jamf는 “입력된 암호가 어디로도 기록되거나 전송되지 않는다”고 명시했다 — 적어도 분석 시점(9월 30일)까지 관찰된 동작은 그렇다.

대신 암호는 교묘하게 숨겨진다. 드로퍼는 입력받은 암호를 base64로 인코딩해 ~/.config/zoom/data.json 파일 안의 cache라는 값 속에 길게 묻어 둔다. 그 암호가 정확히 어디서 시작해 몇 바이트인지는 바로 옆 version 필드에 숨어 있다 — 화면에는 그냥 “1.0.0”으로만 보이지만, 그 뒤에 눈에 보이지 않는 zero-width 유니코드 문자 48개가 붙어서 암호가 저장된 위치(오프셋)와 길이를 인코딩해 둔다. 파일을 열어 봐도 사람 눈에는 평범한 설정 파일로만 보이게 만드는 수법이다.

그래픽: AITPick (자료: Jamf Threat Labs 공식 분석, 2026-09-30)

서버로는 안 샜다 — 그래도 지워야 하는 이유

“서버로 전송되지 않았다”는 것은 지금까지 확인된 관찰 결과이지, 이 구조가 안전하다는 뜻이 아니다. 암호가 base64로 인코딩돼 내 컴퓨터 안의 파일에 평문에 가까운 형태로 남아 있다는 사실 자체가 위험하다 — 같은 기기를 다른 악성코드가 노리거나, 누군가 파일에 접근할 수 있다면 그 암호는 그대로 읽힐 수 있다. Jamf는 “영구성(지속 실행) 확립은 관찰하지 못했다”고도 밝혔는데, 이는 다음 업데이트로 전송 기능이 추가되지 않는다는 보장이 아니라는 뜻이기도 하다.

2단계 — cloudsyncd 백도어가 서버로 보내는 것들

1단계와 별도로 작동하는 cloudsyncd 백도어는 실제로 외부 서버와 통신한다. 다만 가져가는 것은 비밀번호가 아니라 기기를 특정하기 위한 식별 정보다.

구분	해당 여부
하드웨어 UUID·CPU 정보·RAM 용량·OS 버전·머신명·사용자명·MAC 주소·기기 모델	전송됨
로그인 암호(1단계에서 입력한 것)	전송 안 됨(로컬 저장만, 관찰 기준)
브라우저 저장 비밀번호·자동완성 정보	대상 아님
키체인 항목	대상 아님
암호화폐 지갑	대상 아님

(출처: Jamf Threat Labs 공식 분석, 2026-09-30 공개) Jamf는 이 악성코드의 구체적인 유포 경로(피싱 사이트인지 검색 광고인지)는 밝히지 않았고, VirusTotal에서 실행 파일을 모니터링하다가 발견했다고만 전했다. macOS 버전별 영향도 명시되지 않았지만, 코드 안에서 /dev/fd 스폰이 실패하는 현상이 나타나 최신 macOS의 System Integrity Protection(SIP)이 일부 기법을 막고 있는 것으로 보인다고 분석했다.

확인하고 지우는 법 — 지금 할 일

가짜 줌 설치 파일을 실행한 기억이 있다면 아래 순서로 확인한다.

1. 파일 확인: Finder에서 ~/.config/zoom/data.json과 ~/.local/share/cloudsync/.config/logs/sync.err 경로에 파일이 있는지 본다(Finder의 ‘이동 → 폴더로 이동’에 경로를 붙여넣으면 된다. ~ 폴더는 기본적으로 숨김 처리돼 있다).
2. 프로세스 확인: 활성 상태 보기 앱을 열어 cloudsyncd라는 이름의 프로세스가 실행 중인지 확인하고, 있다면 강제 종료한다.
3. 폴더 삭제: ~/.config/zoom/과 ~/.local/share/cloudsync/ 폴더를 통째로 지운다.
4. 암호 변경: 가짜 설치 파일의 “Enter your password to allow this” 창에 실제로 암호를 입력한 적이 있다면, 맥 로그인 암호를 지금 바꾼다. 같은 암호를 다른 서비스에도 쓰고 있었다면 그쪽도 함께 바꾸는 편이 안전하다.
5. 재설치 금지: 줌이 필요하면 공식 웹사이트(zoom.us)나 Mac App Store에서만 새로 받는다.

Jamf는 “영구성 확립을 관찰하지 못했다”고 밝혔지만 확실한 제거 보장은 아니므로, 의심되는 행동(원격 접속 흔적, 낯선 네트워크 연결)이 계속된다면 전체 백업 후 시스템 재설치까지 고려하는 것이 안전하다.

그래서 오늘 뭘 해야 하나

공식 웹사이트나 App Store가 아닌 경로로 받은 적이 있는 “Zoom” 설치 파일이 있다면, 지금 위 네 가지 경로를 확인하고 의심되면 맥 로그인 암호부터 바꾼다. 앞으로는 화면 안내가 “시스템 설정에서 보안 경고를 직접 해제하라”고 유도하는 설치 파일 자체를 의심해야 한다 — 정상적인 공식 앱은 사용자에게 Gatekeeper 경고를 우회하는 절차를 그림으로 안내하지 않는다. 공식 디자인을 그대로 베낀 가짜 사이트로 사용자를 속이는 수법은 아이폰 듀오 사전예약을 사칭한 가짜 아이폰 듀오 사전예약 사이트 주의 사례와도 패턴이 같다 — 제품·플랫폼은 달라도 “공식처럼 보이게 만들고 사용자 스스로 보안 경고를 해제하게 유도한다”는 구조가 반복된다.

출처

• 1차 소스: Jamf Threat Labs, “CloudSyncD: a two-stage macOS backdoor that hides a phished password in zero-width Unicode”(2026-09-30 공개)
• 교차 검증: 9to5Mac, “This fake Mac Zoom installer has a sneaky way to bypass Gatekeeper”(2026-10-01)