XCSSET: un nuevo y curioso malware para Mac

Cada vez parece más lejano y naif, aquello de que «En Mac no hay virus», y XCSSET es un ejemplo no solo de ello, sino de que también hay un escenario de I+D que cada día presta más atención a los dispositivos de Apple, buscando nuevas (y en ocasiones bastante creativas) vías para difundir el malware. Y es lógico, si vemos datos de julio, la cuota de mercado de MacOS X entre los sistemas operativos de escritorio era del 17,07%. 17 de cada 100 ordenadores es un objetivo bastante suculento para los cibercriminales.

El último ejemplo de ello nos llega por los investigadores de Trend Micro, que han descubierto XCSSET, un nuevo malware que emplea un método de difusión de lo más inusual, y que va a ocasionar que, a partir de ahora, mucha gente ponga bajo la lupa una fuente de recursos que, hasta ahora, se daba por plenamente confiable (pese a que, en realidad, y a la vista del descubrimiento, nunca lo ha sido): los proyectos de desarrollo de Xcode.

El descubrimiento de XCSSET plantea un riesgo significativo para los desarrolladores de Xcode. Micro Trend identificó a los desarrolladores afectados por el malware que comparten sus proyectos a través de GitHub, lo que genera un posible ataque a la cadena de suministro para los usuarios que dependen de los repositorios para sus propios proyectos. El software de escaneo VirusTotal de Google también ha identificado el malware, lo que indica que la amenaza ya ha sido detectada in the wild.

XCSSET se propaga a través de proyectos Xcode con código malicioso y que, claro, al ser compilado, se convierten en malware. Y el problema es que, en muchos casos, esos patógenos pueden provenir de fuentes de confianza, por lo que es posible que las medidas de seguridad sean más laxas que con software de otras fuentes. Y peor aún, porque los métodos de chequeo, como la verificación de hashes, no identificarían la infección, ya que los desarrolladores no sabrían que están distribuyendo archivos maliciosos.

Específicamente, se descubrió que XCSSET es capaz de explotar Safari y otros navegadores para robar datos. Puede usar una vulnerabilidad para leer y volcar cookies, crear puertas traseras en Javascript y, a su vez, modificar los sitios web mostrados, robar información bancaria, bloquear cambios de contraseña y robar claves recién modificadas. También se descubrió que podía robar información de aplicaciones como Evernote, Notes, Skype, Telegram, QQ y WeChat, tomar capturas de pantalla, cargar archivos en el servidor especificado por el atacante, cifrar archivos y mostrar una nota de rescate.