Achtung Mac-Nutzer! - Neue Variante der XCSSET-Malware im Umlauf

Microsofts Sicherheitsforscher haben eine neue Version der bekannten XCSSET-Malware entdeckt, die gezielt MacOS-Systeme angreift. Sie wurde bisher nur in wenigen Fällen in freier Wildbahn gefunden, dennoch stuft das Unternehmen die Bedrohung als ernst ein.

Manipulation der Zwischenablage

XCSSET ist modular aufgebaut und dient in erster Linie als Informations- und Datendieb. Bereits frühere Varianten waren in der Lage, Inhalte aus Apples Notizen-App, Kryptowallets sowie Browser-Datenbanken zu stehlen. Die Verbreitung erfolgt über infizierte Xcode-Projekte: Wird ein solches Projekt kompiliert, schleust sich die Malware in den Prozess ein und aktiviert ihre Module. Da Entwickler ihre Projektdateien häufig mit Kollegen teilen, setzt die Schadsoftware gezielt auf diesen Verbreitungsweg.

Die nun entdeckte Variante bringt mehrere Neuerungen mit sich. Besonders auffällig ist die erweiterte Fähigkeit zum Auslesen von Browser-Daten. Dazu installieren die Angreifer eine manipulierte Version des Open-Source-Werkzeugs HackBrowserData, mit dem sich gespeicherte Passwörter oder Cookies aus Firefox auslesen lassen.


Ein weiteres Modul nimmt gezielt die Zwischenablage von MacOS ins Visier. Es überwacht dort automatisch alle Einträge und erkennt mithilfe von Musterabgleichen Krypto-Adressen. Wird eine solche Adresse gefunden, ersetzt die Malware diese unbemerkt durch eine Wallet-Adresse der Angreifer. Wer anschließend eine Transaktion ausführt, überweist sein Geld also nicht an den gewünschten Empfänger, sondern an die Kriminellen.

Achtsamkeit hilft

Um dauerhaft im System zu verbleiben, haben die Entwickler auch die Persistenzmechanismen überarbeitet. So richtet XCSSET etwa neue LaunchDaemon-Einträge ein, die eine versteckte Payload starten. Zudem tarnt sich die Schadsoftware als gefälschte "System Settings"-App, die im temporären Verzeichnis von MacOS abgelegt wird.

Laut Microsoft ist die neue Version derzeit nicht weitverbreitet. Das Unternehmen habe Apple über die Erkenntnisse informiert und arbeite zudem mit GitHub zusammen, um entsprechende Repositories zu entfernen.

Um sich zu schützen, raten Experten dringend, MacOS und alle installierten Anwendungen regelmäßig zu aktualisieren. XCSSET hat in der Vergangenheit Zero-Day-Lücken ausgenutzt. Entwickler sollten darüber hinaus jedes Xcode-Projekt sorgfältig überprüfen, bevor sie es kompilieren - insbesondere, wenn die Dateien von Dritten stammen.

Siehe auch: