Uma nova versão do malware XCSSET está mirando milhares de usuários de macOS por meio de projetos comprometidos do Xcode e repositórios no GitHub.
O Xcode é o SDK oficial da Apple para criar, testar e publicar software em todas as suas plataformas.
Depois de meses sem atividade, o XCSSET reapareceu em uma versão atualizada, a v40, que traz técnicas aprimoradas de evasão e introduz dois novos componentes, segundo pesquisadores.
Pesquisadores da Unit 42, da Palo Alto Networks, que analisaram a cadeia de infecção, afirmam que o threat actor dissemina o malware ao comprometer repositórios vulneráveis no Git e injetar um script de download em arquivos legítimos dentro de projetos do Xcode.
Desenvolvedores que baixam os projetos comprometidos acabam infectados ao compilá-los, o que permite ao XCSSET comprometer também outros projetos do Xcode presentes no sistema e se propagar ainda mais por meio de código-fonte compartilhado.
Os pesquisadores da Unit 42 observaram a versão 40 do XCSSET em duas ondas distintas de ataque, em meados de abril e no início de maio.
O XCSSET mira sistemas macOS desde pelo menos 2021 e, em alguns casos, já explorou vulnerabilidades zero-day em seus ataques.
Em setembro de 2025, a Microsoft alertou para uma campanha do XCSSET que usava projetos comprometidos do Xcode como mecanismo de distribuição.
A empresa também já havia identificado uma variante do malware com capacidade de roubo de criptomoedas.
Nos ataques analisados pela Unit 42, o XCSSET segue uma cadeia de infecção em quatro etapas antes de implantar 17 módulos diferentes, que permitem roubo de credenciais, registro de teclas, manipulação da área de transferência, sequestro do navegador e exfiltração de dados.
Segundo os pesquisadores, a versão mais recente do XCSSET traz dois novos módulos: um sequestrador do Chrome e um trojanizer do Telegram.
O sequestrador envolve o navegador Chrome em um iniciador malicioso e ativa o Chrome DevTools Protocol (CDP) em uma porta local para buscar JavaScript na infraestrutura de command and control (C2) do atacante.
O código permite que os atacantes interceptem o tráfego da web, incluindo credenciais, cookies e transações da MetaMask, que podem ser manipuladas em tempo real para desviar pagamentos.
Além disso, o módulo sequestrador permite a execução de comandos no sistema por meio de um reverse shell sem arquivo, algo que o Google bloqueia no Chrome para Windows e que agora trabalha para estender essas proteções ao macOS.
O trojanizer do Telegram remove o aplicativo legítimo Telegram Desktop dos sistemas infectados e o substitui por uma versão maliciosa, possivelmente usada para interceptar comunicações das vítimas.
A Unit 42 não conseguiu recuperar a configuração criptografada do malware e, por isso, sua funcionalidade exata ainda não é conhecida.
Os pesquisadores também destacaram novas medidas de evasão do XCSSET, incluindo a recompilação periódica do loader no servidor C2, o uso de chaves de criptografia separadas para comunicações de entrada e saída e a ofuscação de nomes de funções, variáveis e strings com cifras exclusivas de cada build.
O malware tenta desativar de forma agressiva proteções do macOS, como XProtect, MRT, TCC e Rapid Security Response, encerra o CloudTelemetryService da Apple e impede atualizações de assinaturas do XProtect.
A Unit 42 recomenda monitorar atividades anômalas de AppleScript, modificações não autorizadas em navegadores, domínios suspeitos do defaults do macOS e aplicativos assinados com ad hoc que contornem o Gatekeeper.
Para se defender da versão mais recente do XCSSET, os pesquisadores também recomendam verificar dependências open source para evitar que repositórios comprometidos entrem nas cadeias de desenvolvimento de software.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...