ไมโครซอฟท์ตรวจพบมัลแวร์ XCSSET บน macOS รุ่นใหม่ มาพร้อมกับเทคนิคตีรวนการตรวจจับที่เทพกว่าเดิม

ไมโครซอฟท์และ Apple ถึงแม้จะเป็นคู่แข่งกัน แต่หลายครั้งก็มีการทำงานสนับสนุนกัน ทั้งแอปพลิเคชันของทางไมโครซอฟท์หลายตัว มีเวอร์ชันสำหรับผลิตภัณฑ์ Apple หรือแม้แต่ในแง่ด้านความปลอดภัยไซเบอร์ ทางไมโครซอฟท์ก็มักสนับสนุนข้อมูลให้ทั้งกับทาง Apple และทางผู้ใช้งานอย่างสม่ำเสมอ เช่นกรณีนี้

จากรายงานโดยเว็บไซต์ The Hacker News ได้รายงานถึงการที่ทางทีมวิจัย Microsoft Threat ซึ่งเป็นหน่วยงานย่อยของไมโครซอฟท์ได้ออกมาแจ้งเตือนถึงการตรวจพบมัลแวร์ XCSSET สายพันธุ์ใหม่ โดยมัลแวร์เวอร์ชันนี้นั้นนับว่าเป็นสายพันธุ์ล่าสุดที่ถูกตรวจพบ นับตั้งแต่ตรวจพบสายพันธุ์ใหม่ครั้งสุดท้ายในปี ค.ศ. 2022 (พ.ศ. 2565) เรียกได้ว่าทิ้งช่วงมายาวนานถึง 3 ปีเต็ม ๆ ซึ่งเวอร์ชันล่าสุดนี้ได้มีการเพิ่มฟีเจอร์สำหรับตีรวนระบบรักษาความปลอดภัย (Obfuscation) ที่มีความร้ายกาจกว่าเดิม รวมไปถึงมีการปรับปรุงกลไกในการคงสภาพตัวมัลแวร์บนระบบของเหยื่อ (Persistence) ทั้งยังอัปเดตวิธีการฝังตัวลงเครื่องของเหยื่อด้วยกลยุทธ์ใหม่อีกด้วย

ทางไมโครซอฟท์ยังได้อธิบายอีกว่า แต่เดิมนั้นมัลแวร์ดังกล่าวมีความสามารถในการขโมยข้อมูลต่าง ๆ เช่น ข้อมูลที่ถูกบันทึกไว้บนแอปพลิเคชัน Notes, ข้อมูลรายละเอียดของระบบ และกระเป๋าเงินคริปโตเคอร์เรนซี ซึ่งความสามารถที่ถูกเพิ่มขึ้นมาล่าสุดนั้นเป็นการส่งเสริมประสิทธิภาพของการขโมยข้อมูลเหล่านี้ให้ดียิ่งขึ้น

โดยทางทีมวิจัยได้ให้รายละเอียดของฟีเจอร์ที่ถูกเพิ่มขึ้นมาบนมัลแวร์ผ่านทางบัญชี X (หรือ Twitter เดิม) ไว้ว่า ฟีเจอร์การตีรวนระบบแบบใหม่จะใช้ระบบที่สุ่มมากขึ้นมาวางตัวมัลแวร์ (Payload) ลงสู่ Xcode Projects ซึ่งในส่วนของเทคนิคการเข้ารหัส (Encode) ที่ถูกนำเข้ามาใช้งานนั้นก็จะเป็นแบบสุ่มทั้งหมดเช่นเดียวกัน โดยจะเป็นการทำงานในรูปแบบ Based-64 ขณะที่ในเวอร์ชันดั้งเดิมนั้นจะใช้เทคนิคการเข้ารหัสแบบ XXD (hexdump) เพียงเท่านั้น

สำหรับในส่วนของฟีเจอร์คงตัวเองในระบบ (Persistence) นั้นก็ได้มีการนำเอา 2 เทคนิคใหม่เข้ามาใช้งาน นั่นคือ “zshrc” และ “dock” โดยเทคนิค “zshrc” นั้นตัวมัลแวร์จะมีการสร้างไฟล์ ~/.zshrc_aliases ที่มีการบรรจุ Payload เอาไว้ พร้อมกับแนบคำสั่ง (Command) ไว้ในไฟล์ ~/.zshrc เพื่อให้เกิดการสร้างไฟล์ดังกล่าวทุกครั้งที่มีการเปิด Shell Session ใหม่

ขณะที่เทคนิค “dock” นั้นจะเป็นการดาวน์โหลด Signed Dockutil Tool ลงมาจากเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control) เพื่อใช้ในการจัดการในส่วนของ Dock Items หลังจากนั้นตัวมัลแวร์จะทำการสร้างแอป Launchpad ปลอมที่สอดไส้มัลแวร์ไว้มาทับแอป Launchpad ของแท้ และใช้เครื่องมือดังกล่าววางแอปพลิเคชันปลอมไว้บน Dock เพื่อรับประกันว่า ทุกครั้งที่เปิด Luanchpad ขึ้นมาจะเป็นการรันมัลแวร์ขึ้นมาใหม่ทุกครั้ง

ในส่วนของกลยุทธ์ในการฝังตัวลงบนระบบรูปแบบใหม่นั้น ใช้กลยุทธ์ 3 รูปแบบโดยตัวมัลแวร์จะเลือกอย่างใดอย่างหนึ่งนั่นคือ TARGET, RULE, หรือ FORCED_STRATEGY จาก Payload ที่ถูกวางอยู่ใน Xcode Project อีกทั้งยังมีกลยุทธ์การฝังตัวเพิ่มเติมในด้วยการฝัง Payload ใน TARGET_DEVICE_FAMILY อีกด้วย

ซึ่งในการป้องกันนั้น ทางไมโครซอฟท์ได้ประกาศว่า แอปพลิเคชัน Microsoft Defender for Endpoint on Mac รุ่นล่าสุดนั้นมีความสามารถในการตรวจจับและป้องกันได้ ทว่า ผู้ใช้งานเองก็ต้องมีความระมัดระวังในการดาวน์โหลด และติดตั้งแอปพลิเคชันจากนอกแอปสโตร์ หรือแหล่งที่วางใจได้ เช่นเดียวกัน