Microsoft ha detectado una nueva variante del malware XCSSET destinada específicamente a desarrolladores que utilizan Xcode. Esta versión incluye funcionalidades como robos de datos de navegador, secuestro del portapapeles y nuevos mecanismos de persistencia.
Vectores de infección y técnicas empleadas
El vector de infección se centra en desarrolladores, explotando la práctica común de compartir proyectos de desarrollo. El nuevo XCSSET utiliza una versión modificada de la herramienta open-source HackBrowserData para extraer contraseñas y sesiones de Firefox.
El malware se centra en el hurto de criptomonedas mediante la monitorización del portapapeles con patrones RegEx que detectan y reemplazan direcciones asociadas a carteras. Refuerza su persistencia creando entradas LaunchDaemon y una falsa 'System Settings.app' que oculta su actividad.
Riesgos potenciales
El impacto potencial incluye la exfiltración de credenciales, robo de notas personales, sustracción de carteras de criptomonedas y datos sensibles almacenados en navegadores. La capacidad de infiltración a través de proyectos colaborativos incrementa el riesgo para entornos de desarrollo, pudiendo afectar a empresas y cadenas de suministro de software.
Recomendaciones de mitigación
- Inspeccionar cualquier proyecto Xcode recibido antes de compilarlo.
- Mantener macOS y las aplicaciones actualizadas.
- Usar una solución EDR para macOS.
- Revisar constantemente procesos y aplicaciones sospechosas.