Uma versão atualizada do malware XCSSET está a visar milhares de programadores de macOS através de projetos Xcode e repositórios Git comprometidos. Segundo a investigação conduzida pelos peritos da Unit 42 da Palo Alto Networks e noticiada pelo BleepingComputer, a versão 40 da ameaça regressa após meses de inatividade com mecânicas avançadas de evasão e dois componentes inéditos.
Os atacantes distribuem a ameaça ao injetar um script de transferência em ficheiros benignos dentro do ambiente oficial de desenvolvimento da Apple. Assim que os programadores descarregam e compilam os projetos comprometidos, o sistema fica infetado, permitindo que a ameaça se propague a outros projetos no mesmo equipamento através da partilha de código fonte.
Sequestro do Chrome e Telegram
A cadeia de infeção divide-se em quatro fases antes de implementar 17 módulos distintos. Estes componentes garantem o roubo de credenciais, o registo de teclas premidas, a manipulação da área de transferência e a extração de dados confidenciais. O grande destaque desta atualização centra-se num sequestrador para o Google Chrome e num trojano desenhado para o Telegram.
No caso do navegador, o código malicioso envolve o programa num lançador próprio e ativa o protocolo DevTools numa porta local. Esta técnica permite intercetar todo o tráfego web, capturar cookies e manipular transações da carteira MetaMask em tempo real para desviar pagamentos. O componente consegue ainda executar comandos de sistema através de uma linha de comandos remota sem ficheiros, uma mecânica que a Google já bloqueia no Windows e que trabalha atualmente para travar nos sistemas da Apple. O módulo do Telegram apaga a aplicação legítima e instala uma versão modificada no equipamento, abrindo portas à interceção de comunicações privadas.
Evasão e desativação de defesas
Esta família de malware tem como alvo os computadores da Apple desde pelo menos 2021, explorando pontualmente vulnerabilidades de dia zero, e já mereceu um alerta de campanha da Microsoft em setembro de 2025. Nesta nova iteração, registada em duas vagas de ataque ocorridas em meados de abril e no início de maio, os responsáveis recompilam o código periodicamente, utilizam chaves de encriptação separadas para as comunicações e ofuscam nomes de variáveis com cifras únicas a cada compilação.
O código malicioso tenta ativamente desativar ferramentas nativas de segurança do sistema operativo, como o XProtect, MRT, TCC e a Resposta Rápida de Segurança, encerrando também o CloudTelemetryService e impedindo as atualizações de assinaturas de vírus. A Unit 42 aconselha a monitorização rigorosa de atividade suspeita no AppleScript, a verificação atenta das modificações nos navegadores e a inspeção contínua das dependências de código aberto antes da respetiva integração nos fluxos de trabalho das equipas de desenvolvimento.
Nenhum comentário
Seja o primeiro!