Nowy wariant XCSSET atakuje programistów macOS przez zainfekowane projekty Xcode

Wprowadzenie do problemu / definicja

XCSSET to zaawansowane, modułowe złośliwe oprogramowanie dla systemu macOS, kojarzone przede wszystkim z atakami na łańcuch dostaw oprogramowania. Jego charakterystyczną cechą jest ukrywanie się w projektach Xcode, czyli środowisku wykorzystywanym do tworzenia aplikacji dla platform Apple. W najnowszej odsłonie zagrożenie ponownie koncentruje się na programistach, wykorzystując zainfekowane repozytoria i zmodyfikowane pliki projektu do uruchomienia infekcji już na etapie kompilacji.

W skrócie

Nowy wariant XCSSET pojawił się po okresie względnej ciszy i według analiz badaczy przynosi rozszerzone techniki unikania wykrycia oraz nowe komponenty funkcjonalne. Kampania opiera się na kompromitowaniu projektów Xcode i repozytoriów kodu, a następnie osadzaniu złośliwych elementów w pozornie legalnych plikach. Po zbudowaniu takiego projektu malware może rozprzestrzeniać się na kolejne projekty w systemie, kraść poświadczenia, przechwytywać naciśnięcia klawiszy, manipulować schowkiem, ingerować w ruch przeglądarki i eksfiltrować dane.

• atak wykorzystuje zaufanie do projektów Xcode i współdzielonego kodu,
• malware działa jako zagrożenie typu supply chain,
• nowe moduły obejmują przejęcie Google Chrome i trojanizację Telegram Desktop,
• złośliwy kod może infekować kolejne projekty Xcode na tym samym urządzeniu.

Kontekst / historia

XCSSET jest aktywny co najmniej od lat 2020–2021 i od początku wyróżniał się nietypowym wektorem wejścia. Zamiast klasycznych wiadomości phishingowych czy złośliwych załączników operatorzy malware wykorzystywali projekty Xcode współdzielone między programistami. To szczególnie groźny model dystrybucji, ponieważ bazuje na zaufaniu do kodu źródłowego, bibliotek i współpracowników.

W poprzednich latach obserwowano kolejne ewolucje tego zagrożenia, w tym warianty ukierunkowane na kradzież informacji, przejmowanie danych z przeglądarek oraz nadużycia związane z portfelami kryptowalutowymi. Najnowsza aktywność pokazuje, że operatorzy XCSSET konsekwentnie rozwijają malware w kierunku dojrzałej operacji wymierzonej w ekosystem Apple i środowiska deweloperskie.

Analiza techniczna

Technicznie atak rozpoczyna się od skompromitowania repozytorium Git lub projektu Xcode. Napastnicy osadzają w nim downloader albo inny komponent uruchamiany podczas procesu budowania aplikacji. Programista pobierający taki projekt i rozpoczynający kompilację nieświadomie inicjuje cały łańcuch infekcji.

Nowy XCSSET wykorzystuje wieloetapowy proces wdrażania ładunku i aktywuje zestaw modułów odpowiedzialnych za różne funkcje operacyjne. Obejmują one m.in. kradzież poświadczeń, keylogging, manipulację schowkiem, przejmowanie sesji przeglądarkowych oraz eksfiltrację danych. Istotna pozostaje zdolność do infekowania kolejnych projektów Xcode na tym samym hoście, co tworzy mechanizm samopowielania w środowisku deweloperskim.

Szczególnie niebezpieczny jest moduł przejmujący Chrome. Mechanizm opiera się na uruchamianiu przeglądarki przez złośliwy launcher oraz aktywowaniu interfejsu debugowania, co może umożliwiać pobieranie i wykonywanie dodatkowego kodu JavaScript sterowanego z infrastruktury C2. W praktyce daje to możliwość przechwytywania ruchu webowego, ciasteczek sesyjnych, danych logowania, a nawet manipulowania operacjami wykonywanymi przez użytkownika.

Drugim nowym elementem jest komponent trojanizujący Telegram Desktop. Zamiast ograniczać się do modyfikacji konfiguracji aplikacji, malware może usuwać legalną wersję programu i zastępować ją spreparowaną kopią. Taki scenariusz zwiększa ryzyko przejęcia komunikacji, sesji oraz danych przechowywanych lokalnie.

Badacze wskazują również na rozwinięte techniki unikania detekcji. Wśród nich wymienia się okresową rekompilację loadera po stronie serwera C2, stosowanie odrębnych kluczy szyfrowania dla komunikacji przychodzącej i wychodzącej oraz silniejszą obfuskację nazw funkcji, zmiennych i ciągów znaków. Zwracają uwagę także próby osłabiania mechanizmów ochronnych macOS odpowiedzialnych za wykrywanie malware i egzekwowanie polityk bezpieczeństwa.

Konsekwencje / ryzyko

Skutki kampanii z użyciem XCSSET wykraczają daleko poza pojedynczą stację roboczą programisty. Zainfekowany host deweloperski może stać się punktem wejścia do dalszego ruchu bocznego, kradzieży tajemnic organizacji, przejęcia tokenów dostępowych, wycieku kodu źródłowego oraz skażenia kolejnych projektów i procesów budowania.

Ryzyko jest szczególnie wysokie dla zespołów korzystających z publicznych repozytoriów, bibliotek open source oraz współdzielonych projektów bez ścisłej weryfikacji integralności. W praktyce zagrożone są pipeline’y CI/CD, proces podpisywania aplikacji, konta deweloperskie Apple, dane przeglądarkowe i komunikatory używane w codziennej pracy.

Dodatkowym problemem pozostaje trudność wykrycia. Jeśli złośliwy kod uruchamia się jako część procesu build, jego aktywność może zostać błędnie uznana za normalne działanie narzędzi programistycznych. To sprawia, że podejście oparte wyłącznie na sygnaturach lub klasycznej kontroli aplikacji może być niewystarczające.

Rekomendacje

Organizacje rozwijające oprogramowanie dla macOS powinny potraktować ten przypadek jako poważne ostrzeżenie dotyczące bezpieczeństwa łańcucha dostaw. Ochrona musi obejmować nie tylko urządzenia końcowe, ale również repozytoria, zależności, skrypty build i konta uprzywilejowane.

• rygorystycznie weryfikować pochodzenie projektów Xcode i repozytoriów pobieranych z zewnętrznych źródeł,
• skanować zależności open source oraz artefakty deweloperskie przed dopuszczeniem ich do środowisk produkcyjnych i CI/CD,
• monitorować zmiany w plikach projektu Xcode, skryptach build phase i innych elementach uruchamianych podczas kompilacji,
• wdrożyć telemetrię wykrywającą anomalie związane z AppleScript, debugowaniem przeglądarki, podpisywaniem ad hoc i omijaniem kontroli bezpieczeństwa,
• kontrolować integralność aplikacji takich jak Chrome i Telegram Desktop na stacjach deweloperskich,
• ograniczać uprawnienia lokalne oraz separować konta używane do budowania, publikowania i administracji,
• rotować poświadczenia, tokeny i klucze podpisujące po wykryciu choćby podejrzenia kompromitacji,
• regularnie aktualizować macOS, Xcode i narzędzia ochronne endpointu,
• prowadzić przeglądy bezpieczeństwa repozytoriów pod kątem podejrzanych commitów, ukrytych skryptów i nietypowych modyfikacji plików projektu.

Z perspektywy SOC i zespołów DFIR warto dodatkowo uwzględnić w regułach detekcyjnych nietypowe uruchomienia procesów przez Xcode, modyfikacje aplikacji przeglądarkowych, komunikację do nieznanej infrastruktury podczas kompilacji oraz próby osłabiania mechanizmów ochronnych macOS.

Podsumowanie

Nowy wariant XCSSET potwierdza, że środowiska deweloperskie macOS pozostają atrakcyjnym celem dla operatorów zaawansowanego malware. Atak przez skompromitowane projekty Xcode jest szczególnie niebezpieczny, ponieważ wykorzystuje naturalne zaufanie do kodu źródłowego i procesu budowania. Rozszerzone możliwości przejmowania przeglądarki, potencjalna trojanizacja komunikatora oraz mechanizmy omijania detekcji pokazują, że mamy do czynienia z dojrzałą operacją wymierzoną w software supply chain.

Źródła

1. BleepingComputer — New XCSSET variant targets macOS devs via compromised Xcode projects
2. Microsoft Security Intelligence — Trojan:MacOS/XCSSET threat description
3. Broadcom Security Center — New XCSSET Malware Variant Targets Xcode Projects
4. MITRE ATT&CK — XCSSET, Software S0658
5. BleepingComputer — Microsoft spots XCSSET macOS malware variant used for crypto theft