XCSSET เวอร์ชันใหม่มุ่งเป้าโจมตีนักพัฒนาที่ใช้ macOS ผ่านโปรเจกต์ Xcode ที่ถูกฝัง Malware

 

XCSSET Malware เวอร์ชันใหม่ กำลังมุ่งเป้าโจมตีผู้ใช้งาน macOS จำนวนมากผ่านโปรเจกต์ Xcode และ GitHub Repository ที่ถูกฝังโค้ดอันตราย

Xcode คือ Software Development Kit (SDK) อย่างเป็นทางการของ Apple สำหรับใช้พัฒนา, ทดสอบ และเผยแพร่ซอฟต์แวร์บนทุกแพลตฟอร์มของ Apple

หลังจากเงียบหายไปหลายเดือน ล่าสุด XCSSET ได้กลับมาอีกครั้งในเวอร์ชัน 40 (v40) โดยมาพร้อมเทคนิคหลบหลีกการตรวจจับที่พัฒนาขึ้น และเพิ่มโมดูลใหม่อีก 2 รายการ

นักวิจัยจาก Unit 42 ของ Palo Alto Networks ซึ่งวิเคราะห์กระบวนการติด Malware ระบุว่า ผู้โจมตีแพร่กระจาย Malware ด้วยการเจาะ Git Repository ที่มีช่องโหว่ ก่อนแทรก Downloader Script ลงในไฟล์ปกติภายในโปรเจกต์ Xcode

เมื่อนักพัฒนาดาวน์โหลด และ Build โปรเจกต์ที่ถูกฝังโค้ดอันตราย เครื่องจะติด XCSSET Malware ทันที จากนั้น Malware จะเข้าไปแพร่กระจายต่อยังโปรเจกต์ Xcode อื่นทั้งหมดบนระบบ และสามารถกระจายต่อผ่าน Source Code ที่มีการแชร์ร่วมกัน

นักวิจัยของ Unit 42 พบการใช้งาน XCSSET เวอร์ชัน 40 ในการโจมตี 2 ระลอก ได้แก่ ช่วงกลางเดือนเมษายน และช่วงต้นเดือนพฤษภาคม

XCSSET เป็น Malware ที่มุ่งเป้าโจมตี macOS มาตั้งแต่ปี 2021 เป็นอย่างน้อย และในบางกรณียังเคยอาศัยช่องโหว่ Zero-day เพื่อใช้ในการโจมตีอีกด้วย

เมื่อเดือนกันยายน 2025 Microsoft ได้แจ้งเตือนเกี่ยวกับแคมเปญ XCSSET ที่ใช้โปรเจกต์ Xcode ที่ถูกฝังโค้ดอันตรายเป็นช่องทางแพร่กระจาย Malware และก่อนหน้านั้นยังเคยตรวจพบ XCSSET อีกเวอร์ชันหนึ่งที่เพิ่มความสามารถในการขโมย Cryptocurrency

จากการวิเคราะห์ของ Unit 42 พบว่า XCSSET ใช้กระบวนการติด Malware ทั้งหมด 4 ขั้นตอน ก่อนดาวน์โหลด และติดตั้งโมดูลเพิ่มเติมอีก 17 โมดูล ซึ่งช่วยให้สามารถขโมย Credential, บันทึกการกดแป้นพิมพ์ (Keystroke Logging), ดัดแปลงข้อมูลใน Clipboard, Hijack เว็บเบราว์เซอร์ และขโมยข้อมูลออกจากเครื่อง

นักวิจัยระบุว่า XCSSET เวอร์ชันล่าสุดได้เพิ่มโมดูลใหม่ 2 รายการ ได้แก่ Chrome Hijacker และ Telegram Trojanizer

Chrome Hijacker จะเจาะเบราว์เซอร์ Chrome ด้วย Launcher ที่เป็นอันตราย พร้อมเปิดใช้งาน Chrome DevTools Protocol (CDP) ผ่าน Local Port เพื่อดึง JavaScript จาก Command-and-Control (C2) ของผู้โจมตี

โค้ดดังกล่าวช่วยให้ผู้โจมตีสามารถดักจับข้อมูลการใช้งานเว็บได้ ไม่ว่าจะเป็น Credential, Cookie และธุรกรรมของ MetaMask รวมถึงสามารถแก้ไขข้อมูลระหว่างการรับส่งได้แบบเรียลไทม์ เพื่อเปลี่ยนเส้นทางการชำระเงินไปยังบัญชีของผู้โจมตี

นอกจากนี้โมดูล Hijacker ยังสามารถรันคำสั่งบนระบบผ่าน Fileless Reverse Shell ได้อีกด้วย โดยปัจจุบัน Google ได้ป้องกันเทคนิคดังกล่าวบน Chrome สำหรับ Windows แล้ว และกำลังขยายการป้องกันไปยัง macOS

ส่วน Telegram Trojanizer จะลบโปรแกรม Telegram Desktop ของจริงออกจากเครื่องที่ติด Malware แล้วแทนที่ด้วยเวอร์ชันที่ถูกดัดแปลง ซึ่งอาจถูกใช้เพื่อดักจับการสื่อสารของเหยื่อ

อย่างไรก็ตาม Unit 42 ไม่สามารถดึงไฟล์ Configuration ที่ถูกเข้ารหัสของโมดูลดังกล่าวได้ จึงยังไม่สามารถระบุความสามารถทั้งหมดของมันได้อย่างแน่ชัด

นักวิจัยยังพบว่า XCSSET เวอร์ชันใหม่นี้ เพิ่มเทคนิคหลบเลี่ยงการตรวจจับหลายรูปแบบ เช่น การคอมไพล์ Loader ใหม่บน C2 Server เป็นระยะ, การใช้ Encryption Key แยกกันสำหรับการสื่อสารขาเข้า และขาออก, รวมถึงการ Obfuscate ชื่อฟังก์ชัน ตัวแปร และข้อความต่าง ๆ ด้วย Cipher ที่แตกต่างกันในแต่ละ Build

นอกจากนี้ Malware ยังพยายามปิดระบบรักษาความปลอดภัยสำคัญของ macOS อย่างต่อเนื่อง ได้แก่ XProtect, MRT, TCC และ Rapid Security Response รวมถึงหยุดการทำงานของบริการ CloudTelemetryService ของ Apple และป้องกันไม่ให้ XProtect อัปเดต Signature ใหม่

Unit 42 แนะนำให้องค์กรเฝ้าตรวจสอบพฤติกรรมที่ผิดปกติ เช่น การใช้งาน AppleScript ที่น่าสงสัย, การแก้ไขเว็บเบราว์เซอร์โดยไม่ได้รับอนุญาต, การเปลี่ยนแปลง macOS Defaults Domains ที่ผิดปกติ และการพบแอปพลิเคชันที่  ด้วย Ad Hoc Signed เพื่อหลีกเลี่ยงการตรวจสอบของ Gatekeeper

เพื่อป้องกัน XCSSET เวอร์ชันล่าสุด นักวิจัยยังแนะนำให้สแกน Open-source Dependencies อย่างสม่ำเสมอ เพื่อป้องกันไม่ให้ Repository ที่ถูกฝังโค้ดอันตรายเข้าสู่ Software Development Pipeline ขององค์กร

ที่มา : Bleepingcomputer