Alerta de Segurança: Nova Versão do Malware XCSSET Ataca macOS com Táticas de Evasão Avançadas

A última versão do XCSSET, o v40, eleva o patamar dos ataques direcionados a sistemas macOS. Sua estratégia central é a exploração da cadeia de suprimentos de software, inserindo código malicioso diretamente em projetos legítimos do Xcode. Esta abordagem permite que o malware se espalhe furtivamente, comprometendo desenvolvedores e, por extensão, as aplicações que eles criam.

Uma vez ativo, o XCSSET v40 demonstra uma arquitetura avançada de evasão. Ele utiliza uma combinação de criptografia de chave dupla, polimorfismo multicamadas e execução exclusivamente em memória. Isso dificulta significativamente a detecção por softwares de segurança. Além de se esconder, o malware desabilita proativamente as defesas nativas do macOS, como as atualizações de segurança e os bancos de dados de assinatura do XProtect, e implementa um novo mecanismo de persistência fileless, abusando do sistema de configuração padrão do sistema operacional.

A versão 40 do XCSSET representa um salto significativo na sofisticação do malware, especialmente em sua capacidade de burlar as defesas do macOS. Enquanto o CEVIU News reportava em 16 de julho de 2026 sobre a atualização do XProtect da Apple, que adicionava novas regras de detecção para outras variantes de malware, o XCSSET v40 foi projetado para contornar e até mesmo desativar proativamente o XProtect, subvertendo diretamente essa camada de proteção.

Houve também uma escalada no ataque ao Telegram. As gerações anteriores do XCSSET, desde 2020 e em 2025, focavam principalmente na exfiltração de dados e histórico de conversas do aplicativo. A versão v40, no entanto, introduz um módulo capaz de trojanizar o cliente desktop do Telegram, substituindo o binário legítimo por uma versão maliciosa. Isso confere aos atacantes um controle muito mais profundo e persistente sobre o aplicativo.

Este ataque ao macOS é particularmente preocupante porque mira desenvolvedores, um elo crucial na cadeia de suprimentos de software. A infecção de um projeto de desenvolvimento pode ter um efeito cascata, comprometendo inúmeros usuários finais. As táticas de evasão do XCSSET v40, incluindo a desativação de defesas nativas e a persistência fileless, tornam sua identificação e erradicação um desafio complexo.

A capacidade do malware de sequestrar o Google Chrome via Chrome DevTools Protocol para roubo de dados sensíveis e a substituição de aplicativos populares como o Telegram por versões trojanizadas, demonstram um nível de sofisticação que exige atenção imediata. Empresas e desenvolvedores precisam fortalecer as práticas de segurança, auditando projetos e implementando soluções de detecção que possam identificar ameaças em memória e ataques de cadeia de suprimentos.