XCSSET Versi Terbaru Tambahkan Teknik Baru untuk Hindari Deteksi di macOS

Peneliti keamanan siber mengungkap bahwa malware XCSSET kini hadir dengan kemampuan baru yang membuatnya semakin sulit dideteksi pada perangkat macOS. Versi terbaru malware ini mengadopsi berbagai teknik penghindaran deteksi (detection evasion) serta berupaya menonaktifkan sejumlah mekanisme keamanan bawaan milik Apple.

Dalam analisis terbaru, peneliti tidak berhasil memperoleh konfigurasi yang telah dienkripsi oleh malware, sehingga fungsi lengkap dari versi terbaru XCSSET masih belum dapat dipastikan.

Loader Dikompilasi Ulang Secara Berkala

Salah satu perubahan paling signifikan adalah mekanisme baru yang memungkinkan loader malware dikompilasi ulang secara berkala langsung dari server command-and-control (C2).

Dengan pendekatan tersebut, setiap sampel malware memiliki karakteristik yang berbeda sehingga lebih sulit dikenali oleh solusi keamanan yang mengandalkan signature.

Selain itu, XCSSET juga menerapkan:

• Kunci enkripsi terpisah untuk komunikasi masuk dan keluar.
• Obfuscation terhadap nama fungsi, variabel, dan string.
• Cipher unik untuk setiap proses build malware.

Teknik ini membuat setiap varian memiliki pola yang berbeda meskipun berasal dari keluarga malware yang sama.

Menargetkan Fitur Keamanan Bawaan macOS

Versi terbaru XCSSET juga secara agresif mencoba menonaktifkan berbagai lapisan keamanan yang tersedia di macOS.

Beberapa komponen keamanan yang menjadi sasaran antara lain:

• XProtect
• Malware Removal Tool (MRT)
• Transparency, Consent, and Control (TCC)
• Rapid Security Response

Malware juga berusaha menghentikan layanan CloudTelemetryService milik Apple serta mencegah pembaruan signature XProtect agar deteksi terhadap malware menjadi lebih sulit.

Rekomendasi Mitigasi

Untuk mengurangi risiko infeksi XCSSET, peneliti merekomendasikan agar administrator dan tim keamanan memantau berbagai indikator aktivitas mencurigakan, seperti:

• Aktivitas AppleScript yang tidak biasa.
• Modifikasi browser tanpa izin pengguna.
• Domain konfigurasi macOS (defaults domains) yang mencurigakan.
• Aplikasi dengan tanda tangan (ad hoc-signed) yang dapat melewati mekanisme Gatekeeper.

Selain itu, organisasi yang mengembangkan perangkat lunak juga disarankan untuk secara rutin memindai seluruh dependency open source yang digunakan. Langkah ini penting untuk mencegah repository yang telah disusupi masuk ke dalam pipeline pengembangan perangkat lunak dan menjadi jalur distribusi malware.

Sumber: Palo Alto Networks Unit 42