XCSSETの再来
数か月にわたり活動が沈静化していたものの、ソフトウェア開発者を標的とする悪名高いマルウェアファミリーが、ステルス性を高めた新バージョンとともに戻ってきました。このマルウェアは、ローカルディスクドライブにほとんど痕跡を残しません。Palo Alto Networksのセキュリティ研究者は最近、XCSSETマクOSマルウェアのバージョン40が実際のキャンペーンで使用されているのを発見しました。2026年4月以降、この脅威は主にApple製品向けの主要な開発環境であるXcodeプロジェクトの改ざんを通じて拡散しています。
感染メカニズムとメモリ上での実行
この感染プロセスは、単にファイルをダウンロードしただけでは発動しません。代わりに、プロジェクトのコンパイル時に始動します。開発者が感染したコードベースをビルドすると、バックグラウンドスクリプトが自動的に実行されます。続いてこのスクリプトは、コマンド&コントロール(C2)サーバーに接続し、追加の機能モジュールを取得します。最終的なペイロードは、完全にシステムのRAM内で動作します。その一方でマルウェアは、ディスク上のすべての一時ファイルを削除するため、フォレンジック分析を著しく困難にしています。
サプライチェーン全体への自己拡散
この脅威は強力な自己拡散能力を備えています。具体的には、標的のワークステーション上で発見したすべてのローカルXcodeプロジェクトに感染します。さらにGitリポジトリのフックも改ざんし、開発者のマシンをサプライチェーン攻撃の媒介手段へと事実上変貌させます。アナリストは、今回のバージョンで17個の機能モジュールを確認しました。その能力は、Appleのメモアプリやシステムクリップボードからのデータ収集から、ブラウザの完全な乗っ取りまで多岐にわたります。
CDPを介したGoogle Chromeの乗っ取り
Google Chromeを標的とする更新されたモジュールは、特に注目に値します。このマルウェアは、正規のブラウザ実行ファイルをランチャースクリプトでラップします。このスクリプトは、ローカルポート上でChrome DevTools Protocol(CDP)を有効化するカスタマイズされたフラグを付けてChromeを起動します。
このローカルインターフェースを通じて、攻撃者はアクティブなブラウザタブ内で任意のJavaScriptを実行します。その結果、攻撃者は認証用のCookieを窃取し、パスワードを抽出し、暗号資産ウォレットのアドレスを改ざんします。さらに、細工したブラウザコンソールへの入力を通じてシステムコマンドを実行することさえ可能です。Googleはこの発見を認め、Windows版には同等の保護機能が既に存在しており、macOS版の防御機能は現在開発が進められていると確認しました。
Telegramへのなりすましとシステムへの永続化
もう一つの大きな追加機能は、メッセージングアプリTelegramへのなりすましです。このマルウェアは偽の実行ファイルをダウンロードし、正規のアプリケーションを削除したうえで、有効な証明書を用いずに偽アプリをローカルで署名します。次に、稼働中の正規Telegramプロセスを強制終了させ、ユーザーに感染した代替アプリを起動するよう促します。
データの窃取にとどまらず、このマルウェアはmacOSの中核的な防御機能も積極的に劣化させます。システムの自動アップデートを無効化し、Appleへのテレメトリー報告をブロックし、XProtectのセキュリティアップデートを妨害します。さらに、オートメーション権限をリセットし、ユーザーに再度アクセス許可を与えさせるよう仕向けます。ステルス性を維持するため、このマルウェアはコードとネットワークトラフィックを動的に再暗号化し、サーバー側の実行ファイルを1日に複数回再構築しています。
推奨される対策
この脅威から防御するため、Palo Alto Networksは異常なAppleScriptプロセスの監視を推奨しています。セキュリティチームは、ブラウザ起動時の厳格なパス検証を徹底し、不正なファイル変更を制限する必要があります。さらに組織は、defaultsコマンドラインユーティリティを介した設定変更を追跡すべきです。最後に管理者は、Gatekeeperを回避する自己署名アプリケーションを監査し、外部のオープンリポジトリを統合する前に依存関係の自動検証を実装する必要があります。
翻訳元: https://meterpreter.org/xcsset-macos-malware-v40/
