一個名為XcodeSpy的惡意Xcode項目正在通過供應(yīng)鏈攻擊iOS開發(fā)人員，在開發(fā)人員的計算機上安裝macOS后門。

Xcode是Apple提供的免費應(yīng)用程序開發(fā)環(huán)境，用于開發(fā)macOS、iOS、tvOS和watchOS應(yīng)用程序。

近日，網(wǎng)絡(luò)安全公司SentinelOne的研究人員發(fā)現(xiàn)合法的iOS TabBarInteraction Xcode項目的惡意版本，該版本正在通過供應(yīng)鏈攻擊進行分發(fā)。

作為攻擊的一部分，攻擊者已經(jīng)克隆了合法的TabBarInteraction項目，并向項目添加了混淆過的惡意“運行腳本”，如下所示。該項目的惡意版本被SentinelOne命名為“XcodeSpy”。

帶有混淆運行腳本的惡意TabBarInteraction

生成項目后，Xcode將自動執(zhí)行運行腳本，打開遠程Shell回訪攻擊者的服務(wù)器cralev.me。

由于SentinelOne發(fā)現(xiàn)此惡意項目時，其命令和控制服務(wù)器已不再可用，因此尚不清楚攻擊者通過反向Shell執(zhí)行了哪些操作。

需要警惕的不僅是iOS開發(fā)人員，今年一月份，還出現(xiàn)了針對Windows開發(fā)人員和安全研究人員的供應(yīng)鏈攻擊。

1月，Google披露了朝鮮拉撒路(Lazarus)黑客組織正在對安全研究人員進行社會工程學(xué)攻擊。攻擊者創(chuàng)建了在線“安全研究人員”的角色，用于聯(lián)系安全研究人員以就漏洞和漏洞利用開發(fā)進行協(xié)作。

作為合作的一部分，攻擊者發(fā)送了惡意的Visual Studio Project，會在研究人員的計算機上安裝自定義后門。

為防止此類攻擊，開發(fā)人員在自己的項目中使用第三方程序包時，應(yīng)始終對其進行分析，包括項目編譯時執(zhí)行的開發(fā)腳本。

參考資料：

https://labs.sentinelone.com/new-macos-malware-xcodespy-targets-xcode-developers-with-eggshell-backdoor/

【本文是51CTO專欄作者“安全牛”的原創(chuàng)文章，轉(zhuǎn)載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權(quán)】

戳這里，看該作者更多好文