XCSSET: Microsoft warnt vor raffinierter neuer MacOS-Malware

Die Sicherheitsforscher bei Microsoft haben eine neue Variante der berüchtigten MacOS-Malware XCSSET gefunden. Diese wird bereits im Rahmen gezielter Angriffe in der freien Wildbahn zum Einsatz gebracht.

Deutliche Weiterentwicklung

Es handelt sich hier um die erste bekannte Weiterentwicklung der Schadsoftware seit dem Jahr 2022. Laut des Microsoft Threat Intelligence Teams verfügt die neue Version über verbesserte Verschleierungsmethoden, aktualisierte Me­cha­nis­men zur Persistenz sowie neue Infektionsstrategien.

Mit diesen Neuerungen kann die Malware ihre bisherigen Ziele besser umsetzen. Zu diesen gehören das Abgreifen digitaler Geldbörsen, das Sammeln von Daten aus der Notizen-App und das Ausleiten von Systeminformationen und Dateien. Die erste Variante von XCSSET wurde erstmals im August 2020 von Trend Micro dokumentiert und war für ihre modular aufgebaute Architektur bekannt. Die Malware verbreitet sich, indem sie Apple-Xcode-Projekte infiziert und so als blinder Passagier mit neuer Software auf andere Geräte gelangt.


In den vergangenen Jahren passte sich XCSSET kontinuierlich an neue MacOS-Versionen sowie an Apples M-Chips an. Bereits Mitte 2021 hatte die Malware die Fähigkeit, Daten aus verschiedenen Anwendungen wie Google Chrome, Telegram, Evernote, Opera, Skype, WeChat sowie aus Apple-eigenen Apps wie Kontakte und Notizen zu stehlen.

Zudem konnte XCSSET eine Schwachstelle im Transparency, Consent and Control (TCC)-Framework ausnutzen, um ohne Nutzererlaubnis Screenshots des Bild­schirms anzufertigen. Im Laufe der Zeit wurde die Malware weiterentwickelt und un­ter­stütz­te später auch MacOS Monterey. Die Herkunft der Schadsoftware bleibt bis heute unbekannt.

Vorsicht ist angeraten

Die neuesten Erkenntnisse Microsofts zei­gen, dass die aktuellste Variante be­son­ders schwer zu erkennen ist. Eine neu­ar­ti­ge Methode, auf dem in­fi­zier­ten Sys­tem prä­sent zu blei­ben, be­steht da­rin, ein sig­nier­tes "dock­util"-Dienst­pro­gramm von einem Com­mand-and-Con­trol-Ser­ver he­run­ter­zu­la­den. Die Mal­ware er­stellt zu­dem ei­ne ge­fälsch­te Launch­pad-An­wen­dung und er­setzt den Pfad des le­gi­ti­men Launch­pad im Dock durch die­se ma­ni­pu­lier­te Ver­sion. Da­durch wird jedes Mal, wenn das Launc­hpad gestartet wird, sowohl das Original als auch die Schadsoftware ausgeführt.

Sicherheitsforscher raten MacOS-Nutzern dringend, ihre Systeme auf dem neuesten Stand zu halten und nur vertrauenswürdige Software zu verwenden, um das Risiko einer Infektion zu minimieren.
Siehe auch: