Malware Xcsset opdaget, som kan tage skærmbilleder på macOS uden tilladelse

Jamf er et softwareudviklingsfirma, der leverer Mac-administrationsløsninger og udvikler applikationer til iOS og macOS. Dette firma har gjort en chokerende opdagelse af en sårbarhed i macOS-computere, der kan tillade XCSSET-malwaren at få adgang uden begrænsninger til de dele af operativsystemet, der normalt kræver tilladelse. De tilgængelige funktioner inkluderer en mikrofon, webcam og optagelse af skærmen uden tilladelse.

Billedkreditering: Jamf

XCSSET-malwaren blev opdaget af Trend Micro Antivirus-tjenester sidste år i 2020. Det blev fundet ud af, at denne malware var rettet mod Apple-udviklere og deres Xcode-projekter. Når først de ufuldstændige apps var inficeret, ville malwaren spredes til alle dem, der bruger, koder eller tester disse apps. Trend Micro beskrev denne strategi som Supply Chain Attack, hvilket betød, at malwaren ikke angreb slutbrugerne i den indledende fase, men snarere fokuserede på app-installatører og forklædte sig indeni. Denne malware er blevet opdateret regelmæssigt med nyere varianter fundet over hele kloden rettet mod Apple-enhederne med M1-chippen .

Billede: Trend Micro

Hvordan virker XCSSET malware?

Trend Micro beskriver funktionen af ​​malwaren på ofrets computer som to nul dage. Den første dag er at hacke ind i Safari- browseren og få alle de cookies, som hackeren kan bruge til at få adgang til alle brugerens onlinekonti. Den anden nul-dag bruges til at installere en udviklingsversion af Safari-browseren, som giver hackerne mulighed for at kontrollere adgangen på ethvert websted. Jamf har dog opdaget, at der eksisterede en tredje nul-dag, der gjorde det muligt for angriberen at tage skærmbilleder af brugerens skærm, uden at han/hun vidste det.

Billede: Apple

Jamf-forskere Jaron Bradley, Ferdous Saljooki og Stuart Ashenbrenner har yderligere forklaret, at denne malware leder efter allerede installerede programmer på ofrets computer, der har skærmdelingstilladelser . Når den er identificeret, injicerer denne malware skærmoptagelseskode i disse apps, som derefter fungerer som en piggyback-tur. De mest populære apps inkluderer Zoom, Slack og WhatsApp, der ubevidst deler deres tilladelser på macOS med denne malware. XCSSET-malwaren underskriver også et nyt app-pakkecertifikat, som hjælper det med at undgå at blive markeret af macOS-sikkerhed.

Billede: Google

I et ideelt scenarie er macOS designet til at indhente tilladelse fra brugeren, før det giver adgang og rettigheder til en applikation. Dette inkluderer optagelse af skærmen, brug af webcam-mikrofonen og opbevaring. Denne malware var dog i stand til at omgå disse tilladelser, da den brugte piggyback-konceptet med at håbe på en tur for at undslippe radaren med legitim software.

Endelig rapporterede Jamf også, at selvom deres resultater inkluderede det faktum, at malwaren fangede skærmbilleder af ofrets skrivebord, kunne den programmeres til langt mere end det. Denne malware kan få adgang til brugerens webcam, mikrofon, tastaturtryk og fange alle brugerens personlige data .

Apple har bekræftet, at deres seneste opdatering vil rette denne fejl i macOS 11.4, som allerede er begyndt at rulle ud til brugerne