XCSSET macOS kártevő

Kiberbiztonsági kutatók azonosítottak az XCSSET rosszindulatú program egy új, kifinomultabb változatát, amely az Apple macOS rendszert célozza meg. Bár jelenleg korlátozott támadásokban figyelhető meg, ez a frissített verzió jelentős fejlesztéseket mutat a lopakodás, a tartósság és az adatlopás terén.

Mi teszi ezt a változatot mássá?

Az XCSSET legújabb verziója számos fontos változást vezet be:

Böngésző és vágólap célzása : Mostantól figyeli a vágólap tartalmát kriptovaluta-tárcacímek után kutatva, és azokat támadók által ellenőrzött címekkel helyettesíti a tranzakciók eltérítése érdekében.

Kiterjesztett adatlopás : A Safarin túl a rosszindulatú program mostantól a Mozilla Firefoxból is képes adatokat kiszivárogni.

Lopakodás és perzisztencia : A csak futtatásra fordított AppleScriptek és LaunchDaemon bejegyzések használatával továbbra is nehéz észlelni és fenntartani a perzisztenciát a fertőzött rendszereken.

Továbbfejlesztett fertőzési lánc : A támadás negyedik szakaszában végrehajtott változtatások magukban foglalják egy utolsó szakaszú AppleScript lekérését, amely a rendszerinformációk gyűjtéséért és a modulok végrehajtásáért felelős egy boot() függvényen keresztül.

Hogyan fertőzi meg az XCSSET a macOS-t?

Az XCSSET elsősorban a szoftverfejlesztők által használt Xcode projekteket célozza meg. Amikor ezek a projektek létrejönnek, a rosszindulatú program aktiválódik és végrehajtja a rosszindulatú moduljait. Bár a pontos terjesztési módszer nem tisztázott, gyanítható, hogy a megosztott vagy klónozott Xcode projektek a fő vektorok.

Az év elején a kutatók olyan fejlesztéseket észleltek, mint a jobb hibakezelés és három olyan adatmegőrzési technika bevezetése, amelyek célja az érzékeny adatok kinyerése a feltört rendszerekből.

Új és frissített modulok

A legújabb változat számos új vagy módosított modult tartalmaz, amelyek mindegyike meghatározott kártékony funkciókat lát el:

vexyeqj (korábban seizecj)

• Letölt egy bnk nevű modult osascript használatával.
• Kezeli az adatellenőrzést, a titkosítást/dekódolást, a C2 kommunikációt és a naplózást.
• Magában foglalja a vágólap eltérítésének képességeit.

neq_cdyd_ilvcmwx

• A C2 szerverre kiszűri a fájlokat, hasonlóan a régebbi txzx_vostfdi modulhoz.

xmyyeqjx

• LaunchDaemon-alapú perzisztenciát hoz létre.

jey

• Git-alapú perzisztenciát valósít meg.

bea_cdyd

• Egy módosított HackBrowserData eszközzel ellopja a Firefox böngésző adatait.

További frissítések tartalmazzák a Telegram üzenetküldő alkalmazás ellenőrzését és a különböző modulok logikai módosításait.

Enyhítő és biztonsági intézkedések

Az XCSSET által jelentett kockázat csökkentése érdekében a macOS felhasználóknak a következőket kell tenniük:

• Tartsák rendszereiket és szoftvereiket teljesen naprakészen.
• Gondosan vizsgáld meg a tárházakból vagy külső forrásokból beszerzett Xcode projekteket.
• Legyen óvatos az érzékeny információk, különösen a kriptovaluta-tárcacímek másolásakor vagy beillesztésekor.

Ez a strukturált formátum kiemeli a kártevő fejlődését, technikai részleteit és gyakorlati elhárítási tanácsokat, miközben minden lényeges információt érintetlenül tart.