תוכנה זדונית של XCSSET macOS

חוקרי אבטחת סייבר זיהו גרסה חדשה ומתוחכמת יותר של התוכנה הזדונית XCSSET המכוונת למחשבי macOS של אפל. למרות שנצפתה כיום במספר מוגבל של התקפות, גרסה מעודכנת זו מדגישה שיפורים משמעותיים ברמת החמקנות, ההתמדה וחילוץ נתונים.

מה מייחד את הגרסה הזו?

גרסת XCSSET האחרונה מציגה מספר שינויים מרכזיים:

מיקוד בדפדפן ובלוח הגזירים : כעת הוא מנטר את תוכן הלוח עבור כתובות ארנקי מטבעות קריפטוגרפיים, ומחליף אותן בכתובות הנשלטות על ידי תוקפים כדי לחטוף עסקאות.

גניבת נתונים מורחבת : מעבר לספארי, התוכנה הזדונית יכולה כעת לחלץ נתונים ממוזילה פיירפוקס.

התגנבות והתמדה : באמצעות AppleScripts ורשומות LaunchDaemon שעברו הידור להפעלה בלבד, עדיין קשה לזהות ולתחזק התמדה במערכות נגועות.

שרשרת הדבקה משופרת : שינויים בשלב הרביעי של ההתקפה כוללים אחזור של AppleScript בשלב הסופי האחראי על איסוף מידע מערכתי והפעלת מודולים באמצעות פונקציית boot().

כיצד XCSSET מדביק macOS

XCSSET מכוון בעיקר לפרויקטים של Xcode המשמשים מפתחי תוכנה. כאשר פרויקטים אלה נבנים, הנוזקה מפעילה ומפעילה את המודולים הזדוניים שלה. בעוד ששיטת ההפצה המדויקת אינה ברורה, קיים חשד שפרויקטים משותפים או משוכפלים של Xcode הם וקטור עיקרי.

מוקדם יותר השנה, חוקרים ציינו שיפורים, כולל טיפול טוב יותר בשגיאות ויישום של שלוש טכניקות שמירה על תקינות (persistence) שנועדו לשאוב נתונים רגישים ממערכות פגועות.

מודולים חדשים ומעודכנים

הגרסה האחרונה כוללת מספר מודולים חדשים או שעברו שינוי, שכל אחד מהם מבצע פונקציות זדוניות ספציפיות:

vexyeqj (לשעבר seizecj)

• מוריד מודול בשם bnk באמצעות osascript.
• מטפל באימות נתונים, הצפנה/פענוח, תקשורת C2 ורישום.
• משלב יכולות חטיפת לוח כתיבה.

neq_cdyd_ilvcmwx

• מסנן קבצים לשרת C2, בדומה למודול txzx_vostfdi הישן יותר.

xmyyeqjx

• קובע עקשנות מבוססת LaunchDaemon.

ג'יי

• מיישם עקשנות מבוססת Git.

iewemilh_cdyd

• גונב נתוני דפדפן Firefox באמצעות כלי HackBrowserData שעבר שינוי.

עדכונים נוספים כוללים בדיקות עבור אפליקציית המסרים של טלגרם ושינויים לוגיים במודולים שונים.

אמצעי הפחתה ובטיחות

כדי להפחית את הסיכון שמציב XCSSET, משתמשי macOS צריכים:

• לשמור על המערכות והתוכנה שלהם מעודכנים במלואם.
• בדוק בקפידה פרויקטים של Xcode שהתקבלו ממאגרים או ממקורות חיצוניים.
• היזהרו בעת העתקה או הדבקה של מידע רגיש, במיוחד כתובות של ארנקי מטבעות קריפטוגרפיים.

פורמט מובנה זה מדגיש את התפתחות התוכנה הזדונית, פרטים טכניים ועצות מעשיות לפתרון בעיות, תוך שמירה על כל המידע החיוני בשלמותו.