XCSSET v40: Neue Malware stiehlt Daten von macOS-Entwicklern
Veröffentlicht am: 05.08.2026 um 00:41 Uhr | Redaktion boerse-global.de
Die Sicherheitsexperten von Unit 42, der Forschungseinheit von Palo Alto Networks, haben eine neue Variante der Schadsoftware XCSSET entdeckt. Die als Version v40 klassifizierte Malware zielt gezielt auf macOS-Entwickler ab und nutzt dabei eine raffinierte Supply-Chain-Strategie zur Verbreitung. Als primäre Infektionswege dienen kompromittierte Xcode-Projekte und GitHub-Repositories, über die der Schadcode in die Entwicklungsumgebungen der Opfer gelangt.
Verbreitung über vertrauenswürdige Repositories
Analysen der Sicherheitsforscher zeigen, dass die Verbreitung von XCSSET v40 bereits seit April 2026 im Gange ist. Dabei konnten zwei deutliche Angriffswellen identifiziert werden, die zeitlich auf Mitte April sowie Anfang Mai 2026 datiert werden. Die Angreifer setzen auf das Vertrauen innerhalb der Entwickler-Community, indem sie bösartigen Code in öffentlich zugängliche oder anderweitig kompromittierte Repositories einschleusen.
Sobald ein Entwickler ein infiziertes Xcode-Projekt herunterlädt und ausführt, setzt sich eine komplexe, vierstufige Infektionskette in Gang. Um die Entdeckung durch Sicherheitssysteme zu erschweren, nutzt die Malware moderne Techniken wie Polymorphismus und eine dateilose Ausführung. Dies bedeutet, dass Teile des Schadcodes direkt im Arbeitsspeicher agieren, ohne dauerhafte Spuren auf dem Datenträger zu hinterlassen, was die forensische Analyse erschwert.
Umfangreiches Arsenal an Spionage-Modulen
Die funktionale Tiefe der Version v40 wird durch insgesamt 17 verschiedene Module unterstrichen. Diese decken ein breites Spektrum an schädlichen Aktivitäten ab. Zu den Kernfunktionen gehören der Diebstahl von Anmeldedaten, das Mitloggen von Tastatureingaben (Keylogging) sowie der Diebstahl von Inhalten aus der Zwischenablage. Darüber hinaus ist die Software in der Lage, Browser zu manipulieren und sensible Daten exfiltrieren.
Wer sich mit komplexen Spionage-Methoden und dem Diebstahl von Zugangsdaten befasst, sollte auch die Sicherheit seiner privaten Konten überdenken. Experten warnen, dass herkömmliche Passwörter oft nicht mehr ausreichen und empfehlen moderne Alternativen, um Phishing und Datenklau effektiv zu verhindern. Warum immer mehr Deutsche ihre Passwörter komplett abschaffen – jetzt gratis nachlesen
Ein wesentlicher Bestandteil der neuen Version ist zudem ein Modul zur Trojanisierung des Messengers Telegram. Damit erweitern die Hintermänner ihren Zugriff auf die private und berufliche Kommunikation der betroffenen Entwickler.
Manipulation von Browsern und Krypto-Transaktionen
Besondere Aufmerksamkeit widmeten die Analysten von Unit 42 einem neuen Chrome-Hijacker innerhalb des Malware-Pakets. Dieser nutzt das sogenannte Chrome DevTools Protocol (CDP), um den Netzwerkverkehr des Browsers abzufangen. Durch diese Methode ist XCSSET v40 in der Lage, Cookies zu stehlen und Anmeldedaten direkt während der Eingabe abzugreifen.
Die Malware greift zudem aktiv in Finanztransaktionen ein. Durch die Manipulation des Browsers ist sie fähig, Transaktionen der Krypto-Wallet MetaMask zu verändern, um Gelder auf Konten der Angreifer umzuleiten. Laut Berichten der Sicherheitsforscher wurde Google bereits über diese spezifischen Angriffsmethoden auf den Chrome-Browser informiert.
Angriffe auf Browser und Finanztransaktionen zeigen, wie gezielt Kriminelle Schwachstellen ausnutzen, um an sensible Daten zu gelangen. Dieser kostenlose Report erklärt, wie Sie sich mit Passkeys bei Diensten wie Amazon oder WhatsApp ohne klassisches Passwort anmelden und so maximale Sicherheit genießen. Sicher, bequem und passwortlos: Jetzt kostenlosen Passkey-Ratgeber sichern
Regionale Schwerpunkte und Schutzmaßnahmen
Die aktuellen Beobachtungen deuten darauf hin, dass die Kampagne einen regionalen Schwerpunkt besitzt. Die Angriffe richten sich demnach vornehmlich gegen Softwareentwickler in Südasien. Warum gerade diese Region im Fokus steht, bleibt Gegenstand weiterer Untersuchungen.
Um die Verteidigung gegen XCSSET v40 zu unterstützen, hat Unit 42 im Rahmen der Veröffentlichung technische Indikatoren für eine Kompromittierung, sogenannte Indicators of Compromise (IoCs), bereitgestellt. Diese ermöglichen es IT-Sicherheitsabteilungen, Netzwerke und Endgeräte gezielt auf Spuren der Malware zu untersuchen. Entwicklern wird geraten, die Integrität von Drittanbieter-Code und Xcode-Projekten aus öffentlichen Quellen besonders kritisch zu prüfen, um die Integrität ihrer eigenen Software-Supply-Chain zu gewährleisten.
