【安全圈】苹果开发人员再次被盯，针对Xcode的供应链攻击再现

网络安全研究人员近期披露了一种新的攻击手法，攻击者利用植入后门的 Xcode 作为攻击媒介攻击苹果平台的开发人员，可以发现从供应链入手攻击开发人员和研究人员的状况已经愈演愈烈。

Xcode 是 Apple 针对 macOS 的集成开发环境(IDE)，可用于为 macOS、iOS、iPadOS、watchOS 和 tvOS 开发软件。Xcode 允许开发人员在启动实例时运行自定义脚本，但控制台和调试器中没有该脚本执行的提示，因此缺乏经验的开发者会面临极大的风险。

被植入后门的 Xcode 项目名为 XcodeSpy，是基于 GitHub 上名为 TabBarInteraction的开源项目进行后门植入后得到的，该项目可根据用户交互与 iOS 标签栏存在动画交互。

SentinelOne 的研究人员表示：“XcodeSpy 会在开发人员的 macOS 上安装定制化 EggShell 后门进行持久化”。SentinelOne 表示，一共发现了两个定制的 EggShell 后门，并且发现样本在 2020 年 8 月 5 日和 2020 年 10 月 13 日从日本上传到 VirusTotal。

今年早些时候，Google 发现了针对安全研究人员的攻击，在 Windows 平台上利用 Visual Studio 工程加载恶意 DLL 文件。此次的 Xcode 污染与之类似，区别只是针对 Apple 平台的开发人员。

XcodeSpy 中的恶意脚本会在开发人员构建工程时启动，从 C&C 服务器下载定制的 EggShell 后门，该后门可以在失陷主机进行窃取键盘击键记录、麦克风录音、摄像头录像等操作。

此前的 XCodeGhost 也利用 Xcode 将恶意代码注入到了 Xcode 编译的 iOS 应用程序中，通过 App Store 上下载的应用程序也存在问题，波及上亿台设备。2020 年 8 月，趋势科技的研究员又发现了类似的攻击，修改后的 Xcode 会安装名为 XCSSET 的恶意软件来窃取凭据、屏幕截图、窃取敏感数据甚至加密系统勒索赎金。

“针对软件开发人员是成功的供应链攻击的第一步，想达到这个目的的一个方法就是对开发者必需的开发工具的投毒”，“XcodeSpy 这种攻击方式完全有可能针对特定的开发人员，当然攻击者也有可能是为了更大规模的攻击做准备”。