XCSSET v systéme macOS: Ako funguje jeho nová varianta a ako sa brániť

Rodina malvéru XCSSET pre macOS sa opäť objavila s vylepšenou variantou a to nie je maličkosť: Microsoft Threat Intelligence identifikovala významné zmeny v technikách obfuscation, persistence a krádeže údajov , ktoré zvyšujú latku pre tohto starého známeho. Ak pracujete s Xcode alebo zdieľate projekty medzi tímami, budete chcieť zostať informovaní.

Od svojho objavenia v roku 2020 sa XCSSET prispôsobuje zmenám v ekosystéme Apple. To, čo teraz vidíme, je prvý verejne zdokumentovaný nový variant od roku 2022 , ktorý bol detekovaný pri obmedzených útokoch, ale s rozšírenými možnosťami. Ide o modulárny malvér, ktorý infiltruje projekty Xcode, aby po kompilácii spustil svoj dátový obsah, a táto iterácia zahŕňa sofistikovanejšie taktiky pre maskovanie a pretrvávanie.

Čo je XCSSET a prečo sa tak dobre šíri?

XCSSET je v podstate sada škodlivých modulov určených na infikovanie projektov Xcode a aktiváciu ich funkcií počas procesu zostavovania . Najpravdepodobnejším vektorom šírenia je zdieľanie súborov projektu medzi vývojármi spolupracujúcimi na aplikáciách pre macOS , čo znásobuje možnosti spustenia s každou zostavou.

Tento malvér historicky dokázal zneužívať zraniteľnosti typu zero-day, vkladať kód do projektov a dokonca zavádzať zadné vrátka do komponentov ekosystému Apple, ako je Safari . Počas svojho vývoja získal aj kompatibilitu s novšími verziami architektúr macOS a Apple Silicon (M1), čím preukázal pozoruhodnú schopnosť adaptácie.

V praxi XCSSET funguje ako zlodej informácií a kryptomien : dokáže zhromažďovať údaje z populárnych programov (Evernote, Notes, Skype, Telegram, QQ, WeChat a ďalšie), odcudzovať systémové a aplikačné súbory a cielene útočiť na digitálne peňaženky. Okrem toho niektoré varianty preukázali schopnosť zachytávať snímky obrazovky bez povolenia, šifrovať súbory a zobrazovať žiadosti o výkupné.

Čo je nové v najnovšej verzii

Spoločnosť Microsoft podrobne uviedla, že najnovšia varianta obsahuje nové stratégie zahmlievania, perzistencie a infekcie . Už nejde len o maskovanie názvov alebo kompresiu kódu: teraz generuje užitočné zaťaženie na infikovanie projektov Xcode s väčšou náhodnosťou.

Jednou výraznou zmenou je kombinované použitie kódovacích techník. Zatiaľ čo predchádzajúce iterácie sa spoliehali výlučne na xxd (hexdump), nová verzia pridáva Base64 a používa náhodný počet iterácií , čo sťažuje identifikáciu a dešifrovanie užitočného zaťaženia.

Interné názvy modulov sú tiež viac zakryté ako kedykoľvek predtým: sú skryté na úrovni kódu, aby sa zakryl ich účel . To komplikuje statickú analýzu a koreláciu medzi funkciami a pozorovateľnými efektmi v systéme.

Perzistencia: metódy „zshrc“ a „dock“

Jedným z charakteristických znakov tohto oživenia XCSSETu sú jeho dve odlišné metódy na prežitie infekcie. Metóda „zshrc“ využíva konfigurácie shellu na automatické spustenie v každej relácii , zatiaľ čo metóda „dock“ manipuluje so systémovými skratkami na transparentné spustenie škodlivého obsahu pre používateľa.

V prístupe „zshrc“ malvér vytvorí súbor s názvom ~/.zshrc_aliases obsahujúci užitočné zaťaženie a potom pridá príkaz do súboru ~/.zshrc, ktorý zabezpečí načítanie tohto súboru pri každom otvorení novej relácie. Tento manéver zaručuje trvalosť na všetkých termináloch bez toho, aby vzbudil akékoľvek zjavné podozrenie.

Plán „dock“ zahŕňa stiahnutie podpísaného nástroja dockutil z riadiaceho servera na správu prvkov Docku . Následne vytvorí falošnú aplikáciu Launchpad a nahradí legitímnu cestu k Launchpadu v Docku touto falošnou aplikáciou. Výsledok: vždy, keď používateľ spustí Launchpad z Docku, otvorí sa skutočný Launchpad a súčasne sa aktivuje škodlivý obsah.

Ako ďalšie opatrenie variant zavádza nové kritériá pre rozhodovanie o tom, kam v projekte Xcode vložiť užitočné zaťaženie . To optimalizuje dopad a minimalizuje pravdepodobnosť, že vývojár pri kontrole stromu projektu zistí niečo nezvyčajné.

AppleScript, tajné vykonávanie a reťazec infekcií

Výskum spoločnosti Microsoft opisuje, ako XCSSET používa skripty AppleScripts kompilované v režime iba na spustenie na tiché vykonávanie a zabránenie priamej analýze odhaliť ich obsah. Táto technika je v súlade s jej cieľom neviditeľnosti a obchádzania nástrojov na kontrolu skriptov.

V štvrtej fáze infekčného reťazca je pozorovaná aplikácia AppleScript, ktorá vykonáva príkaz shellu na stiahnutie poslednej fázy . Tento posledný AppleScript zhromažďuje informácie z napadnutého systému a spúšťa submoduly volaním funkcie boot(), čím organizuje modulárne nasadenie funkcií.

Zistili sa aj zmeny v logike: dodatočné kontroly prehliadača Firefox a iná metóda overovania prítomnosti aplikácie na odosielanie správ Telegram. Nie sú to drobné detaily; naznačujú jasný zámer zvýšiť spoľahlivosť zberu údajov a rozšíriť jeho rozsah.

Premenované moduly a nové diely

S každou revíziou rodina XCSSET mierne menila názvy svojich modulov, čo bola klasická hra na mačku a myš, aby sa sťažilo sledovanie verzií a podpisov . Napriek tomu ich funkčnosť vo všeobecnosti zostala konzistentná.

Medzi pozoruhodné moduly v tomto variante patria identifikátory ako vexyeqj (predtým seisecj), ktorý stiahne ďalší modul s názvom bnk a spustí ho pomocou osascriptu. Tento skript pridáva funkcie na overovanie údajov, šifrovanie, dešifrovanie, načítanie dodatočného obsahu zo servera C2 a protokolovanie udalostí a obsahuje aj komponent „clipper“.

Spomína sa aj neq_cdyd_ilvcmwx , podobný txzx_vostfdi, ktorý je zodpovedný za extrakciu súborov na veliteľský a riadiaci server ; modul xmyyeqjx , ktorý pripravuje perzistenciu na základe LaunchDaemon ; jey (predtým jez), ktorý konfiguruje perzistenciu prostredníctvom Gitu ; a iewmilh_cdyd , zodpovedný za extrakciu údajov z Firefoxu pomocou upravenej verzie verejného nástroja HackBrowserData.

• vexyeqjinformačný modul; stiahnutie a použitie BNK, integruje nástroj na zastrihávanie a šifrovanie.
• neq_cdyd_ilvcmwxexfiltrácia súborov do C2.
• xmyyeqjx: perzistencia pomocou LaunchDaemon.
• hejperzistencia prostredníctvom Gitu.
• iewmilh_cdydKrádež dát z Firefoxu pomocou upraveného súboru HackBrowserData.

Zameranie sa na Firefox je obzvlášť dôležité, pretože rozširuje dosah aj za hranice prehliadačov Chromium a Safari . To znamená, že sa rozširuje spektrum potenciálnych obetí a techniky extrakcie poverení a súborov cookie sa zdokonaľujú pre viacero prehliadačov.

Krádež kryptomien pomocou únosu schránky

Jednou z najznepokojujúcejších funkcií v tomto vývoji je modul „clipper“. Monitoruje schránku a hľadá regulárne výrazy, ktoré sa zhodujú s adresami kryptomien (rôzne formáty peňaženiek). Hneď ako zistí zhodu, okamžite nahradí adresu adresou, ktorú kontroluje útočník.

Tento útok nevyžaduje zvýšené oprávnenia na spôsobenie chaosu: obeť skopíruje svoju adresu z peňaženky, vloží ju, aby odoslala finančné prostriedky, a nevedomky ich prevedie útočníkovi . Ako zdôraznil tím Microsoftu, toto narúša dôveru v niečo také základné, ako je kopírovanie a vkladanie.

Kombinácia orezania údajov a krádeže údajov prehliadača robí z XCSSET praktickú hrozbu pre kyberzločincov zameraných na kryptoaktíva . Môžu získať súbory cookie relácie, uložené heslá a dokonca presmerovať transakcie bez toho, aby ovplyvnili viditeľný zostatok obete, až kým nie je neskoro.

Iné taktiky vytrvalosti a maskovania

Okrem „zshrc“ a „dock“ spoločnosť Microsoft opisuje, ako táto varianta pridáva položky LaunchDaemon, ktoré vykonávajú užitočné zaťaženie v súbore ~/.root . Tento mechanizmus zaisťuje skoré a stabilné spustenie a splynie so spleťou systémových služieb, ktoré sa načítavajú na pozadí.

Taktiež bolo pozorované vytvorenie falošného súboru System Settings.app v priečinku /tmp , ktorý malvér používa na maskovanie svojej aktivity ako legitímnej systémovej aplikácie. Tento typ vydávania sa za legitímnu systémovú aplikáciu pomáha vyhnúť sa podozreniu pri kontrole procesov alebo ciest počas ich okamžitého vykonávania.

Medzitým sú opäť zrejmé taktiky zahmlievania XCSSET: sofistikovanejšie šifrovanie, náhodné názvy modulov a spúšťanie iba AppleScriptov . To všetko poukazuje na predĺženie životnosti kampane predtým, ako ju neutralizujú podpisy a pravidlá detekcie.

Historické možnosti: nad rámec prehliadača

Pri spätnom pohľade sa XCSSET neobmedzil len na vyprázdňovanie prehliadačov. Jeho schopnosť extrahovať dáta z aplikácií ako Google Chrome , Opera, Telegram, Evernote, Skype, WeChat a vlastných aplikácií spoločnosti Apple, ako sú Kontakty a Poznámky, bola zdokumentovaná . Inými slovami, ide o širokú škálu zdrojov zahŕňajúcich zasielanie správ, produktivitu a osobné údaje.

V roku 2021 správy ako Jamfova opisovali, ako XCSSET zneužíval CVE-2021-30713, obídenie frameworku TCC , na vytváranie snímok obrazovky pracovnej plochy bez vyžiadania povolenia. Táto schopnosť je v súlade s jasným cieľom: špehovať a zhromažďovať citlivý materiál s minimálnym narušením fungovania používateľa.

Postupom času bol malvér prispôsobený pre kompatibilitu s čipmi macOS Monterey a M1, čo poukazuje na jeho neustálu údržbu útočníkmi . Presný pôvod tejto operácie zostáva dodnes nejasný.

Ako sa to vkráda do projektov Xcode

Distribúcia XCSSET nie je detailne popísaná, ale všetko nasvedčuje tomu, že zneužíva zdieľanie projektov Xcode medzi vývojármi . Ak je repozitár alebo balík už napadnutý, akékoľvek ďalšie zostavenie aktivuje škodlivý kód.

Tento vzorec robí z vývojových tímov hlavné vektory pre šírenie , najmä v prostrediach s laxnými postupmi kontroly závislostí, skriptov na zostavovanie alebo zdieľaných šablón. Slúži ako pripomienka, že dodávateľský reťazec softvéru sa stal opakujúcim sa cieľom.

Vzhľadom na tento scenár dáva zmysel, že nový variant posilňuje logiku rozhodovania o tom, kam vložiť užitočné zaťaženie v rámci projektu . Čím „prirodzenejšie“ sa zdá byť ich umiestnenie, tým je menej pravdepodobné, že ich vývojár pri rýchlej kontrole zistí.

Ergonómia útoku: chyby, štádiá a znaky

Spoločnosť Microsoft už začiatkom tohto roka oznámila vylepšenia XCSSET v oblasti spracovania chýb a perzistencie . Dôležité je, že teraz funguje s viacstupňovým reťazcom infekcie: AppleScript, ktorý iniciuje príkaz shellu, ktorý stiahne ďalší finálny AppleScript, ktorý následne zhromažďuje systémové informácie a spúšťa submoduly.

Ak hľadáte varovné signály, prítomnosť ~/.zshrc_aliases, manipulácia s ~/.zshrc, podozrivé položky v LaunchDaemons alebo zvláštny súbor SystemSettings.app v /tmp sú všetko indikátory, na ktoré si treba dať pozor. Akákoľvek anomálna aktivita v Docku (napr. nahradené cesty Launchpadu) by mala tiež signalizovať varovné signály.

V spravovaných prostrediach by SOC mali kalibrovať pravidlá na detekciu nezvyčajných osascriptov, opakovaných volaní dockutil a artefaktov kódovaných alebo šifrovaných v Base64 spojených s procesmi zostavovania Xcode a používať nástroje na zobrazenie bežiacich procesov v systéme macOS . Kontext zostavovania je kľúčom k zníženiu počtu falošne pozitívnych výsledkov.

Na koho sa XCSSET zameriava?

Primárny dôraz je kladený na tých, ktorí vyvíjajú alebo kompilujú pomocou Xcode, ale dopad sa môže rozšíriť aj na používateľov, ktorí inštalujú aplikácie vytvorené z kompromitovaných projektov. Finančný aspekt prichádza vo forme únosu schránky , čo je obzvlášť dôležité pre tých, ktorí pravidelne pracujú s kryptomenami.

V oblasti dát ohrozuje únik údajov z Firefoxu a iných aplikácií prihlasovacie údaje, súbory cookie relácie a osobné poznámky. Pridajte k tomu staršie funkcie snímok obrazovky, šifrovania súborov a poznámok s výzvou a obraz je viac než úplný.

Zdá sa, že doteraz zistené útoky majú obmedzený rozsah , ale ako to už často býva, skutočný rozsah kampane sa môže prejaviť až neskôr. Modularita umožňuje rýchle iterácie, zmeny názvov a jemné doladenie, aby sa predišlo odhaleniu.

Praktické odporúčania na zníženie rizika

Po prvé, dodržiavajte aktualizačnú disciplínu: udržiavajte macOS a svoje aplikácie aktuálne a zvážte antimalvérové ​​riešenia . XCSSET už zneužil zraniteľnosti vrátane zero-day exploitov, takže aktualizácia na najnovšiu verziu výrazne znižuje plochu pre útok.

Po druhé, skontrolujte všetky projekty Xcode, ktoré si stiahnete alebo naklonujete z repozitárov, a buďte mimoriadne opatrní pri tom, čo kompilujete. Skontrolujte skripty zostavovania, fázy spúšťania skriptov , závislosti a všetky súbory, ktoré sa spúšťajú počas procesu zostavovania.

Po tretie, buďte opatrní so schránkou. Vyhnite sa kopírovaniu a vkladaniu neoverených adries peňaženiek : pred potvrdením transakcií manuálne skontrolujte prvý a posledný znak. Je to malý krok, ktorý vám môže ušetriť veľa problémov.

Po štvrté, telemetria a lov. Monitorujte osascript, dockutil, zmeny v ~/.zshrc a LaunchDaemons . Ak spravujete flotily, začleňte pravidlá EDR, ktoré v procesoch zostavovania detekujú nezvyčajné kompilované skripty AppleScripts alebo opakujúce sa pevne zakódované užitočné zaťaženia.