Les chercheurs en sécurité de Trend Micro ont découvert une nouvelle campagne qui utilise les développeurs pour diffuser la suite de logiciels malveillants XCSSET à des utilisateurs Mac sans méfiance.
XCSSET est une nouvelle souche de malwares Mac capable de pirater le navigateur Web Safari d'Apple et d'injecter des charges utiles JavaScript malveillantes capables de voler des mots de passe, des données financières et des informations personnelles.
Le malware, qui peut également être utilisé pour déployer un ransomware, a été découvert pour la première fois dans les projets Xcode des développeurs. Xcode est un environnement de développement intégré gratuit (IDE) utilisé par les développeurs sur macOS pour créer des applications pour iPhone, iPad, Mac, Apple Watch et Apple TV. Les chercheurs de Trend Micro ont fourni des informations supplémentaires sur leur découverte dans un article de blog, en disant:
«Ce scénario est assez inhabituel; dans ce cas, du code malveillant est injecté dans les projets Xcode locaux de sorte que lorsque le projet est construit, le code malveillant est exécuté. Cela présente un risque pour les développeurs Xcode en particulier. La menace s'intensifie depuis que nous avons identifié les développeurs concernés qui ont partagé leurs projets sur GitHub, ce qui conduit à une attaque de type chaîne d'approvisionnement pour les utilisateurs qui dépendent de ces référentiels comme dépendances dans leurs propres projets. Nous avons également identifié cette menace dans des sources telles que VirusTotal, ce qui indique que cette menace est en fuite. »
Sommaire
Malware XCSSET
Alors que les cybercriminels utilisent souvent des e-mails de phishing et du spam pour diffuser d'autres types de logiciels malveillants, cette nouvelle campagne tire parti du fait que les développeurs partagent souvent leur travail en ligne afin de diffuser XCSSET. Trend Micro a déjà découvert des projets Xcode infectés par XCSSET sur GitHub ainsi que sur VirusTotal, ce qui signifie que ce nouveau malware Mac fait désormais son chemin sur le Web.
Une fois que XCSSET trouve son chemin sur un système vulnérable, le malware cible tous les navigateurs installés et utilise des vulnérabilités pour voler les données des utilisateurs. Sur Safari, XCSSET profite d'un bogue dans le Data Vault du navigateur ainsi que d'une deuxième vulnérabilité dans le fonctionnement de Safari WebKit. Le premier bogue permet au logiciel malveillant de contourner la fonction de protection de l'intégrité du système (SIP) de macOS pour voler les cookies Safari, tandis que le deuxième bogue permet à un attaquant de lancer des attaques de script intersites universelles (UXSS).
Selon Trend Micro, le bogue UXSS peut être utilisé pour voler les informations de l'utilisateur, mais aussi pour modifier les sessions du navigateur pour afficher des sites Web malveillants, changer les adresses de portefeuille de crypto-monnaie, collecter les informations de carte de crédit de l'App Store et voler les informations d'identification de diverses autres sources telles que Identifiant Apple, Google, PayPal et Yandex.
Afin d'éviter de propager accidentellement le malware XCSSET, Trend Micro recommande aux propriétaires de projets Xcode de vérifier trois fois l'intégrité de leurs projets «afin d'éliminer définitivement les problèmes injustifiés tels que l'infection par des logiciels malveillants à l'avenir».
Via ZDNet
