0xNews - 애플 앱 개발자를 노리는 Xcode 를 활용한 트로이목마 발견

SentinelLabs 발표

XcodeSpy 로 명명된 트로이목마 Trojan

Xcode 프로젝트는 Github 에서 사용할 수 있는 합법적인 오픈소스 프로젝트인 TabBarInteraction 이라는 감염된 버전

개발자가 사용자 상호 작용을 기반으로 iOS 탭 막대를 애니메이션하는데 사용

개발자의 macOS 컴퓨터에 EggShell 백도어의 사용자 지정 변형을 설치하는 악성 Xcode 트로이목마

Xcode 는 macOS, iOS, iPadOS, watchOS, tvOS용 소프트웨어를 개발하는데 사용되는 애플의 macOS 용 통합 개발 환경

XcodeSpy 는 원본 코드를 포함하는 것 외에도 개발자의 빌드 대상이 시작될 때 실행되는 난독화된 실행 스크립트도 포함

이후 스크립트는 공격자가 제어하는 서버에 연결

피해자의 마이크, 카메라, 키보드에서 입력되는 정보를 기록하는 기능과 함께 개발 시스템에서 EggShell 백도어의 사용자 지정 변형 수행

XcodeSpy 는 애플 IDE 의 내장 기능을 활용하여 개발자가 대상 응용 프로그램의 인스턴스를 시작할 때 사용자 지정 쉘 스크립트를 실행할 수 있도록 강제할 수 있음

이런 기술은 경력있는 개발자라면 쉽게 식별 가능

하지만 초급 개발자라면 이런 스크립트 실행 기능을 인지하지 못할 수 있음

콘솔이나 디버거에 악성 스크립트 실행을 나타내는 표시가 없기에 발생

연구팀은 2020년 8월 5일, 10월 13일 EggShell 페이로드 두가지 변종을 식별

해당 페이로드는 일본에서 VirusTotal 에서 샘플 확보

또한 2020년 7월과 10월경 공격 캠페인을 통해서도 관련 공격이 있는 것으로 확인

공격자들은 이전에 감염된 Xcode 실행 파일, 일명 XCodeGhost 에 의존하여 개발자 모르게 감염된 Xcode 로 컴파일된 iOS 앱에 악성 코드를 인젝션

앱 스토어 등을 통해 감염된 앱을 전파 후 사용된 기기에서 정보 수집 수행

2020년 8월 Trend Micro 연구팀 발표

수정된 Xcode 프로젝트를 통해 확산되는 유사한 공격 발견

빌드시 Xcsset 라는 mac 맬웨어를 설치

자격 증명 탈취, 스크린샷 캡처, 메시지나 메모 작성 앱에서 중요 데이터를 캡처 등의 활동 수행

또한 랜섬웨어와 같이 설치된 기기를 암호화하여 몸값 요구

이번 XcodeSpy 는 이전의 공격과는 다르게 개발자를 공격 대상

소프트웨어 개발자를 대상으로 하는 것은 가장 좋은 공급망 공격 supply chain 중 하나

XcodeSpy 는 특정 개발자를 대상으로 공격을 수행했는지에 대한 여부는 불투명

단순 흥미 위주 트롤링이나 추후 다른 공격 연계를 위한 정보 수집 가능성도 높음

openLab