XCSSET në macOS: Si funksionon varianti i tij i ri dhe si të mbroheni

Familja e programeve keqdashëse XCSSET për macOS është rishfaqur me një variant të përmirësuar dhe kjo nuk është çështje e vogël: Microsoft Threat Intelligence ka identifikuar ndryshime të rëndësishme në teknikat e errësimit, këmbënguljes dhe vjedhjes së të dhënave që ngrenë nivelin për këtë njohje të vjetër. Nëse punoni me Xcode ose ndani projekte nëpër ekipe, do të dëshironi të qëndroni të informuar.

Që nga zbulimi i tij në vitin 2020, XCSSET është përshtatur me ndryshimet në ekosistemin e Apple. Ajo që po shohim tani është varianti i parë i dokumentuar publikisht që nga viti 2022 , i zbuluar në sulme të kufizuara, por me aftësi të zgjeruara. Ky është një malware modular që infiltron projektet Xcode për të ekzekutuar ngarkesën e tij pas kompilimit, dhe kjo përsëritje përfshin taktika më të sofistikuara për kamuflazh dhe qëndrueshmëri.

Çfarë është XCSSET dhe pse përhapet kaq mirë?

Në thelb, XCSSET është një grup modulesh keqdashëse të dizajnuara për të infektuar projektet Xcode dhe për të aktivizuar funksionet e tyre gjatë procesit të ndërtimit . Vektori më i besueshëm i përhapjes është ndarja e skedarëve të projektit midis zhvilluesve që bashkëpunojnë në aplikacionet macOS , gjë që shumëfishon mundësitë për ekzekutim me çdo ndërtim.

Ky program keqdashës historikisht ka qenë në gjendje të shfrytëzojë dobësitë zero-day, të injektojë kod në projekte dhe madje të fusë "backdoors" (dyert e pasme) në komponentët e ekosistemit Apple, siç është Safari . Gjatë evolucionit të tij, ai ka fituar gjithashtu përputhshmëri me versionet më të fundit të arkitekturave macOS dhe Apple Silicon (M1), duke demonstruar një kapacitet të jashtëzakonshëm për përshtatje.

Në praktikë, XCSSET funksionon si një hajdut informacioni dhe kriptomonedhash : ai mund të mbledhë të dhëna nga programe të njohura (Evernote, Notes, Skype, Telegram, QQ, WeChat dhe të tjera), të nxjerrë skedarë sistemi dhe aplikacionesh dhe të synojë në mënyrë specifike portofolet dixhitale. Për më tepër, disa variante kanë demonstruar aftësinë për të kapur pamje të ekranit pa leje, për të enkriptuar skedarë dhe për të shfaqur shënime shpërblimi.

Çfarë ka të re në variantin më të fundit

Microsoft ka detajuar se varianti më i fundit përfshin strategji të reja për errësimin, qëndrueshmërinë dhe infektimin . Nuk bëhet më fjalë vetëm për maskimin e emrave ose kompresimin e kodit: tani ka më shumë rastësi në mënyrën se si gjeneron ngarkesat e tij për të infektuar projektet Xcode.

Një ndryshim i habitshëm është përdorimi i kombinuar i teknikave të kodimit. Ndërsa përsëritjet e mëparshme mbështeteshin vetëm në xxd (hexdump), versioni i ri shton Base64 dhe aplikon një numër të rastësishëm përsëritjesh , duke e bërë më të vështirë identifikimin dhe deshifrimin e ngarkesës.

Emrat e brendshëm të moduleve janë gjithashtu më të fshehur se kurrë: ato janë të fshehura në nivelin e kodit për të fshehur qëllimin e tyre . Kjo e ndërlikon analizën statike dhe korrelacionin midis funksioneve dhe efekteve të vëzhgueshme në sistem.

Qëndrueshmëria: metodat “zshrc” dhe “dock”

Një nga karakteristikat dalluese të këtij ringjalljeje të XCSSET janë dy metodat e saj të dallueshme për mbijetesën ndaj infeksionit. Metoda "zshrc" shfrytëzon konfigurimet e shell-it për t'u ekzekutuar automatikisht në çdo seancë , ndërsa metoda "dock" manipulon shkurtoret e sistemit për të ekzekutuar ngarkesën keqdashëse në mënyrë transparente për përdoruesin.

Në qasjen "zshrc", malware krijon një skedar të quajtur ~/.zshrc_aliases që përmban ngarkesën dhe më pas shton një komandë brenda ~/.zshrc që siguron që ky skedar të ngarkohet sa herë që hapet një seancë e re. Ky manovër garanton qëndrueshmëri në të gjitha terminalet pa ngritur ndonjë dyshim të dukshëm.

Plani i "dock" përfshin shkarkimin e një mjeti të nënshkruar, dockutil, nga serveri i komandës dhe kontrollit për të menaxhuar elementët e Dock . Pastaj krijon një aplikacion të rremë Launchpad dhe zëvendëson shtegun legjitim të Launchpad në Dock me këtë aplikacion të rremë. Rezultati: sa herë që përdoruesi hap Launchpad nga Dock, hapet Launchpad i vërtetë dhe ngarkesa keqdashëse aktivizohet njëkohësisht.

Si një masë shtesë, varianti prezanton kritere të reja për të vendosur se ku në projektin Xcode duhet të futet ngarkesa . Kjo optimizon ndikimin dhe minimizon mundësinë që zhvilluesi të zbulojë diçka të pazakontë gjatë shqyrtimit të pemës së projektit.

AppleScript, ekzekutim i fshehtë dhe zinxhir infeksioni

Hulumtimi i Microsoft përshkruan se si XCSSET përdor AppleScripts të kompiluara në modalitetin "vetëm për ekzekutim" për t'u ekzekutuar në heshtje dhe për të parandaluar analizën e drejtpërdrejtë nga zbulimi i përmbajtjes së tyre. Kjo teknikë përputhet me qëllimin e saj për padukshmëri dhe shmangien e mjeteve të inspektimit të skripteve.

Në fazën e katërt të zinxhirit të infeksionit, vërehet një aplikacion AppleScript duke ekzekutuar një komandë shell për të shkarkuar fazën përfundimtare . Ky AppleScript përfundimtar mbledh informacion nga sistemi i kompromentuar dhe ngarkon nënmodule duke thirrur funksionin boot(), duke organizuar kështu vendosjen modulare të aftësive.

Janë zbuluar gjithashtu ndryshime në logjikë: kontrolle shtesë për shfletuesin Firefox dhe një metodë e ndryshme për të konfirmuar praninë e aplikacionit të mesazheve Telegram. Këto nuk janë detaje të vogla; ato tregojnë një qëllim të qartë për ta bërë mbledhjen e të dhënave më të besueshme dhe për të zgjeruar fushëveprimin e saj.

Modulet e riemërtuara dhe pjesët e reja

Me çdo rishikim, familja XCSSET ndryshoi pak emrat e moduleve të saj, një lojë klasike si maceja me miun për ta bërë më të vështirë gjurmimin e versioneve dhe nënshkrimeve . Megjithatë, funksionaliteti i tyre në përgjithësi mbeti i qëndrueshëm.

Ndër modulet e shquara në këtë variant janë identifikues të tillë si vexyeqj (më parë seiseecj), i cili shkarkon një modul tjetër të quajtur bnk dhe e ekzekuton atë duke përdorur osascript. Ky skript shton funksione për validimin e të dhënave, enkriptimin, dekriptimin, marrjen e përmbajtjes shtesë nga serveri C2 dhe regjistrimin e ngjarjeve, dhe përfshin komponentin "clipper".

Gjithashtu përmendet neq_cdyd_ilvcmwx , i ngjashëm me txzx_vostfdi, i cili është përgjegjës për nxjerrjen e skedarëve në serverin e komandës dhe kontrollit ; moduli xmyyeqjx që përgatit persistencën bazuar në LaunchDaemon ; jey (më parë jez) i cili konfiguron persistencën nëpërmjet Git ; dhe iewmilh_cdyd , përgjegjës për nxjerrjen e të dhënave nga Firefox duke përdorur një version të modifikuar të mjetit publik HackBrowserData.

• vexyeqj: modul informacioni; shkarko dhe përdor bnk, integron prerësin dhe enkriptimin.
• neq_cdyd_ilvcmwx: nxjerrja e skedarëve në C2.
• xmyyeqjx: këmbëngulje nga LaunchDaemon.
• Jey: qëndrueshmëri përmes Git.
• iewmilh_cdydVjedhja e të dhënave të Firefox me HackBrowserData të modifikuar.

Fokusi te Firefox është veçanërisht i rëndësishëm sepse zgjeron shtrirjen përtej Chromium dhe Safari . Kjo do të thotë që spektri i viktimave të mundshme rritet dhe teknikat e nxjerrjes së kredencialeve dhe cookie-ve po përpunohen për motorë të shumtë shfletuesish.

Vjedhja e kriptomonedhave duke përdorur rrëmbimin e clipboard-it

Një nga aftësitë më shqetësuese në këtë evolucion është moduli "clipper". Ai monitoron kujtesën për shprehje të rregullta që përputhen me adresat e kriptomonedhave (formate të ndryshme portofole). Sapo zbulon një përputhje, ai menjëherë e zëvendëson adresën me një të kontrolluar nga sulmuesi.

Ky sulm nuk kërkon privilegje të larta për të shkaktuar kaos: viktima kopjon adresën e saj nga portofoli, e ngjit atë për të dërguar fonde dhe pa e ditur ia transferon ato sulmuesit . Siç theksoi ekipi i Microsoft, kjo gërryen besimin në diçka aq themelore sa kopjimi dhe ngjitja.

Kombinimi i prerjes së të dhënave dhe vjedhjes së të dhënave të shfletuesit e bën XCSSET një kërcënim praktik për kriminelët kibernetikë të përqendruar në asetet kripto . Ata mund të marrin cookie-t e sesionit, fjalëkalimet e ruajtura dhe madje të ridrejtojnë transaksionet pa ndikuar në bilancin e dukshëm të viktimës derisa të jetë tepër vonë.

Taktika të tjera të këmbënguljes dhe kamuflazhit

Përveç “zshrc” dhe “dock”, Microsoft përshkruan se si ky variant shton hyrjet e LaunchDaemon që kryejnë një ngarkesë në ~/.root . Ky mekanizëm siguron një nisje të hershme dhe të qëndrueshme dhe përzihet me rrëmujën e shërbimeve të sistemit që ngarkohen në sfond.

Është vërejtur gjithashtu krijimi i një skedari të rremë System Settings.app në /tmp , të cilin programi keqdashës e përdor për të maskuar aktivitetin e tij si një aplikacion legjitim sistemi. Ky lloj imitimi ndihmon në shmangien e dyshimeve gjatë inspektimit të proceseve ose shtigjeve gjatë ekzekutimit të çastit.

Ndërkohë, taktikat e errësimit të XCSSET janë edhe një herë të dukshme: enkriptim më i sofistikuar, emra të rastësishëm të moduleve dhe AppleScripts vetëm për ekzekutim . E gjithë kjo tregon zgjatjen e jetëgjatësisë së fushatës përpara se të neutralizohet nga nënshkrimet dhe rregullat e zbulimit.

Aftësitë historike: përtej shfletuesit

Duke parë prapa, XCSSET nuk është kufizuar vetëm në zbrazjen e shfletuesve. Aftësia e tij për të nxjerrë të dhëna nga aplikacione si Google Chrome , Opera, Telegram, Evernote, Skype, WeChat dhe aplikacionet e vetë Apple si Contacts dhe Notes është dokumentuar . Me fjalë të tjera, një gamë burimesh që përfshijnë mesazhet, produktivitetin dhe të dhënat personale.

Në vitin 2021, raporte si ai i Jamf përshkruan se si XCSSET shfrytëzoi CVE-2021-30713, një anashkalim të kornizës TCC , për të bërë pamje të ekranit të desktopit pa kërkuar leje. Kjo aftësi përputhet me një objektiv të qartë: të spiunojë dhe mbledhë materiale të ndjeshme me ndërprerje minimale për përdoruesin.

Me kalimin e kohës, programi keqdashës u përshtat për kompatibilitet me macOS Monterey dhe çipat M1, duke nxjerrë në pah mirëmbajtjen e vazhdueshme të tij nga sulmuesit . Deri më sot, origjina e saktë e operacionit mbetet e paqartë.

Si futet tinëzisht në projektet Xcode

Shpërndarja e XCSSET nuk është detajuar deri në detajet e fundit, por të gjitha shenjat janë se ai shfrytëzon ndarjen e projekteve Xcode midis zhvilluesve . Nëse një depo ose paketë është tashmë e kompromentuar, çdo ndërtim i mëvonshëm do të aktivizojë kodin keqdashës.

Ky model i bën ekipet e zhvillimit vektorë kryesorë për përhapje , veçanërisht në mjedise me praktika të dobëta të shqyrtimit të varësive, skripte ndërtimi ose shabllone të përbashkëta. Ai shërben si një kujtesë se zinxhiri i furnizimit të softuerëve është bërë një objektiv i përsëritur.

Duke pasur parasysh këtë skenar, është logjike që varianti i ri forcon logjikën për të vendosur se ku duhet të futen ngarkesat brenda projektit . Sa më "natyrale" të duket vendndodhja e tyre, aq më pak të ngjarë është që një zhvillues t'i zbulojë ato në një shqyrtim të shpejtë.

Ergonomia e sulmit: gabime, faza dhe shenja

Microsoft kishte njoftuar përmirësime në XCSSET më herët këtë vit në trajtimin e gabimeve dhe qëndrueshmërinë . Gjëja e rëndësishme është se tani përputhet me një zinxhir infeksioni shumëfazor: një AppleScript që inicion një komandë shell, e cila shkarkon një tjetër AppleScript përfundimtar, i cili nga ana tjetër mbledh informacionin e sistemit dhe nis nënmodulet.

Nëse po kërkoni për flamuj të kuq, prania e ~/.zshrc_aliases, ndërhyrja në ~/.zshrc, hyrjet e dyshimta në LaunchDaemons ose një SystemSettings.app i çuditshëm në /tmp janë të gjitha tregues për të cilët duhet të keni kujdes. Çdo aktivitet anormal në Dock (p.sh., shtigjet e zëvendësuara të Launchpad) duhet gjithashtu të ngrejë flamuj të kuq.

Në mjediset e menaxhuara, SOC-të duhet të kalibrojnë rregullat për të zbuluar osascript të pazakontë, thirrje të përsëritura të dockutil dhe artefakte të koduara ose të enkriptuara në Base64 të lidhura me proceset e ndërtimit Xcode, dhe të përdorin mjete për të parë proceset që ekzekutohen në macOS . Konteksti i ndërtimit është çelësi për të zvogëluar pozitivët e rremë.

Kush është duke synuar XCSSET?

Fokusi kryesor është tek ata që zhvillojnë ose kompilojnë me Xcode, por ndikimi mund të shtrihet edhe tek përdoruesit që instalojnë aplikacione të ndërtuara nga projekte të kompromentuara. Aspekti financiar vjen në formën e rrëmbimit të clipboard-it , gjë që është veçanërisht e rëndësishme për ata që merren rregullisht me kriptovaluta.

Në sferën e të dhënave, nxjerrja nga Firefox dhe aplikacione të tjera vë në rrezik kredencialet, cookie-t e sesionit dhe shënimet personale. Shtojini kësaj edhe aftësitë e trashëguara të pamjeve të ekranit, enkriptimit të skedarëve dhe shënimeve të shpërblimit , dhe fotografia është më se e plotë.

Sulmet e zbuluara deri më tani duken të kufizuara në fushëveprim , por, siç ndodh shpesh, madhësia e vërtetë e fushatës mund të duhet kohë për t'u zbuluar. Modulariteti lehtëson përsëritjet e shpejta, ndryshimet e emrave dhe rregullimet e hollësishme për të shmangur zbulimin.

Rekomandime praktike për të zvogëluar rrezikun

Së pari, mbani një disiplinë përditësimi: mbajeni macOS dhe aplikacionet tuaja të përditësuara dhe merrni në konsideratë zgjidhje kundër programeve keqdashëse . XCSSET ka shfrytëzuar tashmë dobësitë, duke përfshirë edhe shfrytëzimet zero-day, kështu që përditësimi në versionin më të fundit e zvogëlon ndjeshëm sipërfaqen e sulmit.

Së dyti, inspektoni çdo projekt Xcode që shkarkoni ose klononi nga depot dhe kini shumë kujdes me atë që kompiloni. Rishikoni skriptet e ndërtimit, Fazat e Ekzekutimit të Skriptit , varësitë dhe çdo skedar që ekzekutohet gjatë procesit të ndërtimit.

Së treti, kini kujdes me kujtesën e përkohshme. Shmangni kopjimin dhe ngjitjen e adresave të paverifikuara të portofoleve : kontrolloni manualisht karakteret e para dhe të fundit përpara se të konfirmoni transaksionet. Është një hap i vogël që mund t'ju kursejë shumë telashe.

Së katërti, telemetria dhe gjuetia. Monitoroni osascript, dockutil, ndryshimet në ~/.zshrc dhe LaunchDaemons . Nëse menaxhoni flota, përfshini rregulla EDR që zbulojnë AppleScript-e të pazakonta të kompiluara ose ngarkesa të përsëritura të koduara në proceset e ndërtimit.