Im Mittelpunkt der von Unit 42 untersuchten Angriffe steht eine vierstufige Infektionskette. Danach installiert XCSSET insgesamt 17 Module, die unter anderem den Diebstahl von Zugangsdaten, Tastatureingaben, Manipulationen der Zwischenablage, Browser-Übernahmen und den Abfluss von Daten ermöglichen. Neu in Version 40 sind laut den Forschern zwei zusätzliche Module: ein Chrome-Hijacker und ein Telegram-Trojanisierer.

Der Chrome-Hijacker verpackt den Browser Chrome in einen bösartigen Starter und aktiviert das Chrome DevTools Protocol auf einem lokalen Port, um JavaScript von der Kommando-und-Kontroll-Infrastruktur der Angreifer nachzuladen. Nach Angaben von Unit 42 können die Angreifer damit Webverkehr abfangen, darunter Zugangsdaten, Cookies und MetaMask-Transaktionen. Diese Transaktionen lassen sich während der Ausführung manipulieren, um Zahlungen umzuleiten.

Zusätzlich ermöglicht das Hijacker-Modul die Ausführung von Systembefehlen über eine dateilose Reverse Shell. Google blockiert diese Möglichkeit den Angaben zufolge in Chrome für Windows bereits und arbeitet derzeit daran, diesen Schutz auch auf macOS auszuweiten.

Der Telegram-Trojanisierer entfernt auf infizierten Systemen die legitime Anwendung Telegram Desktop und ersetzt sie durch eine manipulierte Version. Laut Unit 42 könnte diese dazu dienen, die Kommunikation der Opfer abzufangen. Eine verschlüsselte Konfiguration konnten die Forscher jedoch nicht abrufen; die genaue Funktion dieser Komponente bleibt deshalb unklar.

Neben den neuen Modulen hebt Unit 42 mehrere neue Mechanismen zur Erkennungsausweichung hervor. Dazu gehören das periodische Neukompilieren des Loaders auf dem C2-Server, getrennte Verschlüsselungsschlüssel für eingehende und ausgehende Kommunikation sowie die Verschleierung von Funktionsnamen, Variablen und Zeichenketten mit jeweils build-spezifischen Chiffren.

Die Malware versucht zudem nachdrücklich, macOS-Schutzmechanismen wie XProtect, MRT, TCC und Rapid Security Response zu deaktivieren. Sie beendet außerdem Apples CloudTelemetryService und verhindert Aktualisierungen der XProtect-Signaturen.

Unit 42 empfiehlt zur Erkennung unter anderem, auf auffällige AppleScript-Aktivitäten, nicht autorisierte Änderungen an Browsern, verdächtige macOS-defaults-Domains und ad hoc signierte Anwendungen zu achten, die Gatekeeper umgehen. Um die aktuelle XCSSET-Version abzuwehren, raten die Forscher außerdem dazu, Open-Source-Abhängigkeiten zu prüfen, damit kompromittierte Repositories nicht in Softwareentwicklungs-Pipelines gelangen.

XCSSET ist keine neue Bedrohung. Laut Unit 42 zielt die Malware seit mindestens 2021 auf macOS-Systeme. Microsoft hatte zudem bereits früher eine Variante identifiziert, die Funktionen zum Diebstahl von Kryptowährungen einführte.