新たなXCSSET亜種、侵害されたXcodeプロジェクトを通じてmacOS開発者を標的に

XCSSETマルウェアの新バージョンが、侵害されたXcodeプロジェクトおよびGitHubリポジトリを通じて、数千人規模のmacOSユーザーを標的にしています。

XcodeはApple全プラットフォーム向けソフトウェアの作成・テスト・公開のための公式SDK（ソフトウェア開発キット）です。

数か月にわたる沈黙を経て、XCSSETは検知回避技術を強化し、2つの新コンポーネントを導入した最新バージョン「v40」として再び姿を現しました。研究者らが明らかにしています。

この感染チェーンを分析したPalo Alto Networks傘下のUnit 42の研究者によると、脅威アクターは脆弱なGitリポジトリを侵害し、Xcodeプロジェクト内の無害なファイルにダウンローダースクリプトを注入することでマルウェアを拡散させています。

侵害されたプロジェクトをダウンロードした開発者は、それをビルドした時点で感染し、これによりXCSSETはシステム上の他の全Xcodeプロジェクトを侵害できるようになり、共有ソースコードを通じてさらに拡散していきます。

Unit 42の研究者は、4月中旬と5月初旬の2つの異なる攻撃波でXCSSETバージョン40が使用されているのを確認しました。

XCSSETは少なくとも2021年からmacOSシステムを標的としており、攻撃においてゼロデイ脆弱性を悪用したケースもありました。

2025年9月には、Microsoftが侵害されたXcodeプロジェクトを配布経路として利用するXCSSETキャンペーンについて警告を発しています。同社は以前にも、暗号資産窃取機能を導入したこのマルウェアの亜種を確認していました。

Unit 42が分析した攻撃において、XCSSETは4段階の感染チェーンを経た後、認証情報窃取、キーストロークロギング、クリップボード操作、ブラウザ乗っ取り、データ窃取を可能にする17個の個別モジュールを展開します。

研究者らによると、最新のXCSSETバージョンにはChrome乗っ取りモジュールとTelegramトロイの木馬化モジュールという2つの新モジュールが搭載されています。

この乗っ取りモジュールはChromeブラウザを悪意あるランチャーでラップし、ローカルポート上でChrome DevToolsプロトコル（CDP）を有効化することで、攻撃者のコマンド＆コントロール（C2）インフラからJavaScriptを取得します。

このコードにより攻撃者は、認証情報やCookie、MetaMaskの取引情報を含むWebトラフィックを傍受でき、これらをリアルタイムで改ざんして送金先を変更することも可能です。

さらに、この乗っ取りモジュールはファイルレスのリバースシェルを介したシステムコマンド実行を可能にします。GoogleはこれをWindows版Chromeではブロックしており、現在この保護機能をmacOSにも拡張する作業を進めています。

Telegramトロイの木馬化モジュールは、感染したシステム上で正規のTelegram Desktopアプリケーションを削除し、悪意あるバージョンに置き換えます。これは被害者の通信を傍受する目的で使われている可能性があります。

Unit 42はその暗号化された設定情報を取得できなかったため、正確な機能は依然として不明です。

研究者らはまた、XCSSETの新たな検知回避策として、C2サーバー上でローダーを定期的に再コンパイルすること、送受信通信に別々の暗号鍵を使用すること、ビルドごとに固有の暗号を用いて関数名・変数・文字列を難読化することなどを挙げています。

このマルウェアは、XProtect、MRT、TCC、Rapid Security Responseといったmacოのセキュリティ機能を積極的に無効化しようとし、AppleのCloudTelemetryServiceを終了させ、XProtectのシグネチャ更新を妨害します。

Unit 42は、異常なAppleScriptの活動、不正なブラウザ改変、不審なmacOS defaultsドメイン、Gatekeeperを回避するアドホック署名アプリケーションを監視するよう推奨しています。

最新版のXCSSETから身を守るため、研究者らはさらに、侵害されたリポジトリがソフトウェア開発パイプラインに入り込むのを防ぐべく、オープンソースの依存関係をスキャンすることも推奨しています。