XCSSET Zlonamjerni softver za macOS

Istraživači kibernetičke sigurnosti identificirali su novu, sofisticiraniju varijantu zlonamjernog softvera XCSSET koji cilja na Apple macOS. Iako se trenutno primjećuje u ograničenim napadima, ova ažurirana verzija pokazuje značajna poboljšanja u prikrivenosti, postojanosti i eksfiltraciji podataka.

Što ovu varijantu čini drugačijom?

Najnovija verzija XCSSET-a uvodi nekoliko ključnih promjena:

Ciljanje preglednika i međuspremnika : Sada prati sadržaj međuspremnika za adrese kriptovaluta novčanika, zamjenjujući ih adresama koje kontroliraju napadači kako bi preuzeo transakcije.

Proširena krađa podataka : Osim Safarija, zlonamjerni softver sada može ukrasti podatke i iz Mozilla Firefoxa.

Prikrivenost i postojanost : Korištenjem AppleScriptova i LaunchDaemon zapisa kompiliranih samo za izvođenje, i dalje je teško otkriti i održavati postojanost na zaraženim sustavima.

Poboljšani lanac infekcije : Promjene u četvrtoj fazi napada uključuju dohvaćanje AppleScript-a u završnoj fazi odgovornog za prikupljanje informacija o sustavu i izvršavanje modula putem funkcije boot().

Kako XCSSET zarazi macOS

XCSSET prvenstveno cilja Xcode projekte koje koriste programeri softvera. Kada se ti projekti izgrade, zlonamjerni softver aktivira i izvršava svoje zlonamjerne module. Iako točna metoda distribucije nije jasna, sumnja se da su dijeljeni ili klonirani Xcode projekti glavni vektor.

Ranije ove godine, istraživači su primijetili poboljšanja, uključujući bolje rukovanje pogreškama i implementaciju triju tehnika perzistencije osmišljenih za preuzimanje osjetljivih podataka iz kompromitiranih sustava.

Novi i ažurirani moduli

Najnovija varijanta sadrži nekoliko novih ili modificiranih modula, od kojih svaki obavlja specifične zlonamjerne funkcije:

vexyeqj (prije seisecj)

• Preuzima modul pod nazivom bnk pomoću osascripta.
• Upravlja validacijom podataka, šifriranjem/dešifriranjem, C2 komunikacijom i zapisivanjem.
• Uključuje mogućnosti otmice međuspremnika.

neq_cdyd_ilvcmwx

• Prebacuje datoteke na C2 server, slično starijem txzx_vostfdi modulu.

xmyyeqjx

• Uspostavlja perzistenciju temeljenu na LaunchDaemonu.

jey

• Implementira perzistenciju temeljenu na Gitu.

iewmilh_cdyd

• Krade podatke preglednika Firefox pomoću modificiranog alata HackBrowserData.

Dodatna ažuriranja uključuju provjere aplikacije za razmjenu poruka Telegram i logičke izmjene u raznim modulima.

Mjere ublažavanja i sigurnosti

Kako bi smanjili rizik koji predstavlja XCSSET, korisnici macOS-a trebali bi:

• Održavajte svoje sustave i softver u potpunosti ažuriranima.
• Pažljivo pregledajte Xcode projekte dobivene iz repozitorija ili vanjskih izvora.
• Budite oprezni pri kopiranju ili lijepljenju osjetljivih podataka, posebno adresa kriptovalutnih novčanika.

Ovaj strukturirani format ističe evoluciju zlonamjernog softvera, tehničke detalje i praktične savjete za ublažavanje, a istovremeno čuva sve bitne informacije netaknutima.