🔍 Contexte

Publié le 31 juillet 2026 par Unit 42 (Palo Alto Networks), cet article présente une analyse technique approfondie de XCSSET v40, la dernière itération d’une famille de malwares macOS ciblant les développeurs Apple. Après des mois de dormance, les opérateurs ont déployé cette version en avril 2026, avec une seconde vague en mai 2026.

🎯 Vecteur d’infection et propagation

Le malware se propage via une attaque de chaîne d’approvisionnement en injectant un script downloader dans des projets Xcode légitimes hébergés sur GitHub. L’infection est déclenchée uniquement lorsque le développeur compile le projet localement. XCSSET v40 peut infecter tous les projets Xcode existants sur un système compromis et se propage via des dépôts Git open-source.

🔗 Chaîne d’infection (4 phases)

  1. Phase 1 : Script initial injecté dans le projet Xcode, contact C2 via /a
  2. Phase 2 : Reconnaissance hôte (OS, username), exfiltration vers le C2
  3. Phase 3 : Téléchargement du loader principal, compilation d’un wrapper AppleScript, exécution en mémoire via osascript, suppression des fichiers temporaires
  4. Phase 4 : Module orchestrateur boot en mémoire, chargement des modules spécialisés

🧩 Nouveaux modules notables

  • chrome_remote : Backdoor via le protocole Chrome DevTools (CDP), WebSocket persistant vers le C2, injection JavaScript, vol de cookies/credentials, manipulation de wallets crypto (MetaMask), reverse shell fileless via console.log
  • tdesktop : Trojaniseur Telegram Desktop — remplace le binaire légitime par une version malveillante signée ad hoc, configuration AES chiffrée depuis /w?tr

🛡️ Nouvelles TTPs

  • Polymorphisme multi-couches : recompilation du loader toutes quelques heures (8 hashes distincts en 24h), chiffrement AES-256-CBC avec IV aléatoire par transmission, chiffres César et substitution sur les noms de fonctions/variables
  • Architecture dual-key : clé entrante dans le loader AppleScript compilé, clé sortante séparée
  • Persistance fileless : utilisation du système defaults macOS pour stocker des payloads Base64 encodés sous des clés aléatoires
  • Affaiblissement des défenses : désactivation de SoftwareUpdate, blocage de CloudTelemetryService, verrou exclusif sur la base YARA XProtect (XPdb), reset TCC via tccutil reset AppleEvents
  • Anti-VM : module stats vérifiant CPU/hardware, résultats envoyés au C2 pour bloquer les sandboxes

🌐 Infrastructure C2

Environ 40 domaines enregistrés début 2026 en plusieurs vagues, vieillis avant déploiement. Pivot géographique : domaines .ru (Russie) et .in (Inde) enregistrés en parallèle, cohérent avec le ciblage de développeurs en Asie du Sud. Quatre adresses IP opérateur liées par un thumbprint SSL partagé (6e480d648fa1b70612f5d198a66875e28847547d), des clés SSH réutilisées et un certificat RDP auto-signé commun — constituant des échecs OPSEC significatifs.

📋 Modules identifiés (17 au total)

Incluant : boot, stats, clipboard_v2, payloader, replicator_finder, git_finder, zip_infect_finder, data_folders_finder, firefox_data, notes_app, settings_app, finder_app, persist, browser_remote, safari_remote, chrome_remote, tdesktop

📌 Type d’article

Analyse technique approfondie publiée par une équipe de recherche en threat intelligence (Unit 42), visant à documenter les capacités de XCSSET v40, exposer son infrastructure C2 et fournir des indicateurs de compromission exploitables.

🧠 TTPs et IOCs détectés

TTP

  • T1195.001 — Supply Chain Compromise: Compromise Software Dependencies and Development Tools (Initial Access)
  • T1059.002 — Command and Scripting Interpreter: AppleScript (Execution)
  • T1059.004 — Command and Scripting Interpreter: Unix Shell (Execution)
  • T1027.002 — Obfuscated Files or Information: Software Packing (Defense Evasion)
  • T1027.009 — Obfuscated Files or Information: Embedded Payloads (Defense Evasion)
  • T1620 — Reflective Code Loading (Defense Evasion)
  • T1055 — Process Injection (Defense Evasion)
  • T1497.001 — Virtualization/Sandbox Evasion: System Checks (Defense Evasion)
  • T1562.001 — Impair Defenses: Disable or Modify Tools (Defense Evasion)
  • T1547.011 — Boot or Logon Autostart Execution: Plist Modification (Persistence)
  • T1543.004 — Create or Modify System Process: Launch Daemon (Persistence)
  • T1176 — Browser Extensions (Persistence)
  • T1539 — Steal Web Session Cookie (Credential Access)
  • T1056.001 — Input Capture: Keylogging (Collection)
  • T1115 — Clipboard Data (Collection)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
  • T1573.001 — Encrypted Channel: Symmetric Cryptography (Command and Control)
  • T1568 — Dynamic Resolution (Command and Control)
  • T1553.002 — Subvert Trust Controls: Code Signing (Defense Evasion)
  • T1036.005 — Masquerading: Match Legitimate Name or Location (Defense Evasion)
  • T1485 — Data Destruction (Impact)
  • T1490 — Inhibit System Recovery (Impact)

IOC

Malware / Outils

  • XCSSET v40 (other)
  • chrome_remote (backdoor)
  • tdesktop trojanizer (other)

🟢 Indice de vérification factuelle : 90/100 (haute)

  • ✅ unit42.paloaltonetworks.com — source reconnue (liste interne) (20pts)
  • ✅ 34829 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 83 IOCs dont des hashes (15pts)
  • ✅ 6/9 IOCs confirmés (AbuseIPDB, ThreatFox, URLhaus, VirusTotal) (15pts)
  • ✅ 23 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • 91.108.106.229 (ip) → VT (3/91 détections)
  • 95.142.35.34 (ip) → VT (4/91 détections)
  • 95.142.35.206 (ip) → VT (3/91 détections)
  • accapple.ru (domain) → VT (20/91 détections)
  • adschecks.ru (domain) → VT (8/91 détections)

🔗 Source originale : https://unit42.paloaltonetworks.com/xcsset-v40-malware-analysis/