XCSSET恶意软件更新到Python3

XCSSET macOS 恶意软件的运营商通过将源代码组件升级到 Python 3 来增加对 macOS Monterey 的支持的迭代改进，从而加大了赌注。

SentinelOne 研究人员 Phil Stokes 和 Dinesh Devadoss 表示：“恶意软件作者已从 2020 年初始版本的假 Xcode.app 中隐藏主要可执行文件到 2021 年的假 Mail.app 和 2022 年的假 Notes.app在一份报告中说。

https://www.sentinelone.com/blog/xcsset-malware-update-macos-threat-actors-prepare-for-life-without-python/

XCSSET由趋势科技于 2020 年首次记录，它有许多活动部件，可以从 Apple Notes、微信、Skype 和 Telegram中收集敏感信息；将恶意 JavaScript 代码注入各种网站；并从 Safari 网络浏览器转储 cookie。

感染链需要使用 dropper 通过后门来破坏用户的 Xcode 项目，后者还采取措施通过伪装成系统软件或 Google Chrome 网络浏览器应用程序来逃避检测。

主要的可执行文件是一个 AppleScript，旨在从远程服务器网络中检索第二阶段 AppleScript 有效负载，这些远程服务器会虹吸存储在 Web 浏览器（例如 Google Chrome、Mozilla Firefox、Microsoft Edge、Brave 和 Yandex 浏览器）以及聊天应用程序中的数据，例如电报和微信。

威胁参与者还已知使用自定义 AppleScript（“listing.applescript”）来确定“受害者使用 Apple 的 XProtect 和 MRT 恶意软件删除工具的最新程度，可能更好地使用更有效的有效负载来定位他们”研究人员说。

该攻击的一个新颖之处在于，在 Xcode 项目中部署恶意软件被视为通过 GitHub 存储库进行传播以进一步扩大其影响范围的一种方法。

除了利用 AppleScripts 之外，该恶意软件还利用 Python 脚本在 macOS Dock 上放置假应用程序图标并从合法的 Notes 应用程序中窃取数据。

最新版本的 XCSSET 还值得注意的是对 AppleScripts 进行了修改，以说明 Apple从 2022 年 3 月 14 日发布的 macOS 12.3 中删除了 Python 2.7，这表明作者正在不断更新恶意软件以增加成功的机会。

为此，据说攻击者已经更新了他们的“safari_remote.applescript”，为运行 macOS Monterey 12.3 及更高版本的系统淘汰了 Python 2，转而使用 Python 3。

尽管已经在野外呆了两年，但对威胁参与者的身份及其动机或确切目标知之甚少。

也就是说，早在 2022 年 5 月，中国就报告了XCSSET 恶意软件攻击，要求受害者支付 200 USDT 以换取解锁被盗账户。

研究人员指出：“目前尚不清楚这些受感染的存储库是受害者还是威胁行为者希望感染粗心用户的植物。” “有人建议，可以通过新手开发人员的教程和截屏视频将毫无戒心的用户指向受感染的存储库。”