Nueva variante de la amenaza macOS xcsset descubierta en la naturaleza

Los atacantes tienen una nueva variante de uno de los mayores amenazas para la plataforma macOSMicrosoft advierte. Hasta ahora, la nueva versión se ha visto en un puñado de ataques contra los desarrolladores de Apple, pero su alcance podría crecer mucho más en las próximas semanas.

XCSSet puede leer y enviar datos de los navegadores Safari. Inyectar backtors JavaScript en sitios web; Robar información de Skype, Telegram, WeChat, Notes y otras aplicaciones de la víctima; Hacer capturas de pantalla; Archivos en cifrado; Y seleccione datos controlados con atacantes. La nueva variante que contiene métodos de cobertura mejorados, mecanismos de persistencia actualizados y nuevas estrategias de infección es la primera actualización conocida de malware desde 2022, Microsoft Amenazing Intelligence en un Publicar en x esta semana.

«Estas funciones extendidas contribuyen a las funciones previamente conocidas de esta familia de malware, por ejemplo, en billeteras digitales, recopilando datos de la aplicación Notes y la información y los archivos del sistema de pelado», dice el artículo.

Trend Micro Investigers descubrió XCSSet por primera vez en 2020 cuando examinó un incidente de seguridad en relación con los proyectos de desarrolladores de Xcode. El malware en el pasado tiene desarrolladores de software a través de Usar debilidades E luego infecte sus proyectos y use esto como un medio de propagación. Si uno de los proyectos infectados es descargado y creado por otro desarrollador, XCSSet también infecta sus proyectos, que a su vez se pueden descargar de otros. Esto proporciona la función de gusano de malware y el potencial de un ataque más amplio de la cadena de suministro.

Mejoras significativas en el malware de macOS

La variante parece ser una actualización significativa para el malware modular, con varias funciones nuevas que facilitan la propagación de XCSSET y sus actividades maliciosas.

Los métodos de cobertura mejorados que están disponibles en XCSSet usan «un enfoque significativamente más aleatorizado para generar cargas útiles para infectar proyectos de XCode», que según Microsoft tanto con su tecnología de codificación como de una serie de ediciones de codificación.

Y aunque las variantes XCSet más antiguas solo usaron XXD (hexdump) para la codificación, las últimas también contienen módulos Base64 y Obfuszier. Esto hace que sea más difícil determinar los módulos del malware, dijo Microsoft.

Los operadores también han equipado la variante con dos nuevos mecanismos de persistencia diferentes: el método «ZSHRC» y el método «Dock». En el método anterior, el malware crea un archivo con el nombre ~/.zshrc_aliases, que según Microsoft contiene la carga útil. «Luego encuentra un comando en el archivo ~/.zshrc para garantizar que el archivo creado se inicie cada vez que se inicia un nuevo shell, lo que garantiza la persistencia de las sesiones de malware sobre el shell», dice en la publicación.

El método de Dock incluye descargar una herramienta Dockutil firmada de un servidor de comando y control (C2) para administrar los elementos de muelle, y luego crear una aplicación Fake LaunchPad, donde el Dockk se reemplaza con este PathPad falso.

«Esto garantiza que cada vez que se lance el lanzamiento de la muelle, tanto el Lanzador Lanzamiento Legítimo como la carga útil maliciosa se llevan a cabo», dijo Microsoft.

La variante también utiliza nuevos métodos de infección que determinan dónde se coloca la carga útil en los proyectos XCODE. El método se selecciona de una de las siguientes opciones: objetivo, regla o estrategia Forced_, mientras que un método adicional es colocar la carga útil en el botón Target_Device_Family en la configuración de compilación y llevarla a cabo en una fase posterior.

Consejo para MacOS Cyber ​​-Fefender

Aunque tradicionalmente no es un objetivo para los actores de amenaza que macosa La plataforma se ha convertido cada vez más arriesgado Al malware y a otros Amenazas de seguridad En los últimos años, principalmente debido a la creciente participación de mercado de Apple en un mercado de PC reducido.

Para evitar descargar proyectos de Xcode que están infectados con XCSSet, Microsoft recomienda que los desarrolladores y usuarios «siempre verifiquen y verifiquen todos los proyectos de XCode y verifiquen que se descarguen o clonen por repositorios», que pueden difundir el malware.

«Solo debe instalar aplicaciones de fuentes confiables, por ejemplo, la tienda oficial de aplicaciones de una plataforma de software», dice Microsoft.

Usuario de Defensor de Microsoft para el punto final en la Mac Si la compañía está protegida contra XCSSet, incluida su nueva variante, agregó la compañía, ya que puede reconocer todas las versiones conocidas del malware.