Según Microsoft, el malware XCSSET para MacOS está resurgiendo con una nueva variante.
En una nueva publicación en las redes sociales publicada el 17 de febrero, Microsoft Threat Intelligence afirmó haber detectado una nueva variante de XCSSET. Este sofisticado malware modular ataca a los usuarios infectando proyectos de Xcode, el entorno de desarrollo integrado (IDE) de Apple para macOS.
Se trata de la primera nueva variante de XCSSET observada públicamente desde 2022.
Identificado por primera vez en 2020, el malware XCSSET se suele implementar explotando vulnerabilidades de día cero.
Luego inserta código malicioso en proyectos de Xcode y, a veces, implanta puertas traseras en productos y servicios de Apple como Safari.
Cuenta con una variedad de capacidades que incluyen la orientación a billeteras digitales.
El malware es capaz de recopilar datos de varias aplicaciones, incluidas Evernote, Notes, Skype, Telegram, QQ y WeChat, así como de exfiltrar información y archivos del sistema.
XCSSET también puede tomar capturas de pantalla de la pantalla actual del usuario, cifrar archivos y mostrar una nota de rescate.
Nuevas funciones en la última variante de XCSSET
Esta última variante descubierta por Microsoft presenta métodos de ofuscación mejorados, mecanismos de persistencia actualizados y nuevas estrategias de infección.
La variante emplea un método mucho más aleatorio para crear cargas útiles para infectar proyectos de Xcode. Tanto la técnica de codificación como el número de iteraciones de codificación son aleatorios.
Además, mientras que las variantes anteriores de XCSSET solo usaban xxd (hexdump) para la codificación, la última versión también incorpora Base64.
Los nombres de los módulos de la variante están ofuscados a nivel de código, lo que dificulta discernir los propósitos de los módulos.
La nueva variante de XCSSET también emplea dos técnicas distintas: el método “zshrc” y el método “dock”.
En el método zshrc, el malware crea un archivo llamado ~/.zshrc_aliases, que contiene la carga útil. Luego, agrega un comando en el archivo ~/.zshrc para garantizar que el archivo creado se inicie cada vez que se inicia una nueva sesión de shell, lo que garantiza la persistencia del malware en todas las sesiones de shell.
El método dock implica la descarga de una herramienta dockutil firmada desde un servidor de comando y control para administrar los elementos del dock. Luego, el malware crea una aplicación Launchpad falsa y reemplaza la entrada de ruta del Launchpad legítimo en el dock con esta falsa. Esto garantiza que cada vez que se inicia el Launchpad desde el dock, tanto el Launchpad genuino como la carga útil maliciosa se ejecutan simultáneamente.
Por último, la nueva variante XCSSET introduce nuevos métodos para determinar dónde se coloca la carga útil en un proyecto Xcode de destino.