Los investigadores de seguridad han descubierto un nuevo malware que se dirige a los desarrolladores de Xcode mediante el uso de las funciones de scripting de la plataforma de codificación para instalar una puerta trasera en las máquinas afectadas.
El malware, denominado XcodeSpy, afecta el entorno de desarrollo integrado (IDE) de Xcode en macOS. Xcode es utilizado por Apple desarrolladores para crear aplicaciones de App Store para iPhone, Mac y otros dispositivos.
Según los investigadores de SentinelLabs, los malos actores están explotando la función Ejecutar script en el IDE para infectar Apple Desarrolladores que utilizan proyectos Xcode compartidos.
El llamado “proyecto Xcode con troyanos” está actualmente infectado por desarrolladores de iOS en la naturaleza, dijeron los investigadores. Es una versión manipulada de un proyecto legítimo disponible en GitHub que ofrece a los desarrolladores de iOS funciones avanzadas para animar la barra de pestañas de iOS.
Una vez que el proyecto Xcode malicioso se descarga y se lanza, instala una variante personalizada de la puerta trasera EggShell con un mecanismo de persistencia. Los investigadores dicen que la puerta trasera podría permitir que un atacante cargue o descargue archivos y grabe el micrófono, la cámara y el teclado de la víctima.
Como se mencionó anteriormente, el ataque se basa en la capacidad Run Script en Xcode. La función permite a los desarrolladores ejecutar un script de shell personalizado al iniciar una instancia de su aplicación. Está ofuscado porque no hay ninguna indicación en la consola o el depurador de que se haya ejecutado un script malicioso.
SentinelOne dice que tiene conocimiento de al menos un caso en una organización estadounidense. Según los informes, la campaña estuvo en vigor entre julio y octubre de 2020, y también puede haberse dirigido a desarrolladores en Asia. Los investigadores dicen que desconocen otros proyectos maliciosos de Xcode en la naturaleza y no pueden evaluar si se trata de un problema importante. Sin embargo, hay algunos indicios de que pueden existir otros proyectos de Xcode con troyanos.
“Al compartir los detalles de esta campaña, esperamos crear conciencia sobre este vector de ataque y destacar el hecho de que los desarrolladores son objetivos de gran valor para los atacantes”, escribió SentinelOne en una publicación de blog.
La versión original del proyecto de la barra de pestañas de iOS, denominada TabBarInteraction, no ha sido manipulada y se puede descargar de forma segura desde GitHub, agregaron los investigadores.
Quién está en riesgo y cómo protegerse
SentinelOne dice que todos Apple los desarrolladores deben tener cuidado con los proyectos de Xcode de terceros. El equipo agregó que los desarrolladores nuevos o sin experiencia que pueden no estar al tanto de la función Ejecutar script son especialmente vulnerables. Se recomienda que todos Apple los desarrolladores practican la precaución y comprueban si hay scripts de ejecución maliciosos cuando utilizan Xcode Project de terceros.
Los desarrolladores deben inspeccionar los proyectos individuales en busca de secuencias de comandos de ejecución maliciosas en la pestaña Fases de compilación. SentinelOne tiene más información sobre cómo detectar y mitigar la amenaza.
