Sha descobert malware Xcsset que pot fer captures de pantalla a macOS sense permís

Jamf és una empresa de desenvolupament de programari que ofereix solucions de gestió de Mac i desenvolupa aplicacions per a iOS i macOS. Aquesta empresa ha fet un descobriment impactant d'una vulnerabilitat als ordinadors macOS que pot permetre que el programari maliciós XCSSET accedeixi, sense restriccions, a aquelles parts del sistema operatiu que normalment requereixen permís. Les funcions accessibles inclouen un micròfon, una càmera web i la gravació de la pantalla sense permís.

Crèdits d'imatge: Jamf

El programari maliciós XCSSET va ser descobert pels serveis de Trend Micro Antivirus l'any passat el 2020. Es va descobrir que aquest programari maliciós estava dirigit als desenvolupadors d'Apple i als seus projectes Xcode. Un cop infectades les aplicacions incompletes, el programari maliciós s'estenia a tots aquells que utilitzin, codifiquen o provessin aquestes aplicacions. Trend Micro va descriure aquesta estratègia com a Supply Chain Attack, cosa que significava que el programari maliciós no atacava els usuaris finals en la fase inicial, sinó que es va centrar en els instal·ladors d'aplicacions i es va disfressar. Aquest programari maliciós s'ha actualitzat regularment amb variants més noves que es troben a tot el món dirigides també als dispositius Apple amb xip M1 .

Imatge: Trend Micro

Com funciona el programari maliciós XCSSET?

Trend Micro descriu el funcionament del programari maliciós a l'ordinador de la víctima com dos dies zero. El primer dia és piratejar el navegador Safari i obtenir totes les cookies amb les quals el pirata informàtic pot accedir a tots els comptes en línia de l'usuari. El segon dia zero s'utilitza per instal·lar una versió de desenvolupament del navegador Safari que permet als pirates informàtics controlar l'accés a qualsevol lloc web. Tanmateix, Jamf ha descobert que existia un tercer dia zero que permetia a l'atacant fer captures de pantalla de la pantalla de l'usuari sense que ell/ella ho sàpiga.

Imatge: Apple

Els investigadors de Jamf Jaron Bradley, Ferdous Saljooki i Stuart Ashenbrenner han explicat a més que aquest programari maliciós busca aplicacions ja instal·lades a l'ordinador de la víctima que tinguin permisos per compartir la pantalla . Un cop identificat, aquest programari maliciós injecta codi de gravació de pantalla a aquestes aplicacions que després funciona com un passeig. Les aplicacions més populars inclouen Zoom, Slack i WhatsApp que sense saber-ho comparteixen els seus permisos a macOS amb aquest programari maliciós. El programari maliciós XCSSET també signa un nou certificat de paquet d'aplicacions que l'ajuda a evitar ser marcat per la seguretat de macOS.

Imatge: Google

En un escenari ideal, el macOS està dissenyat per obtenir el permís de l'usuari abans que concedeixi accés i drets a qualsevol aplicació. Això inclou la gravació de la pantalla, l'ús del micròfon de la càmera web i l'emmagatzematge. No obstant això, aquest programari maliciós era capaç d'obviar aquests permisos, ja que utilitzava el concepte de piggyback d'esperar un viatge per escapar del radar amb un programari legítim.

Finalment, Jamf també va informar que, tot i que les seves troballes incloïen el fet que el programari maliciós estava capturant captures de pantalla de l'escriptori de la víctima, es podria programar per molt més que això. Aquest programari maliciós pot accedir a la càmera web de l'usuari, el micròfon, les pulsacions del teclat i capturar totes les dades personals de l'usuari.

Apple ha confirmat que la seva darrera actualització solucionarà aquest error a macOS 11.4 que ja s'ha començat a desplegar als usuaris.