Jak donoszą badacze bezpieczeństwa oprogramowania, wiele projektów Xcode może zawierać złośliwe oprogramowanie XCSSET, które atakuje przeglądarki Safari i nie tylko. W dużej mierze niewiadomo jak złośliwe oprogramowanie dostało się do projektów oprogramowania.

Badacze z firmy Trend Micro odkryli „niezwykłą infekcję związaną z projektami Xcode”, w której złośliwe oprogramowanie włączyło się do samego projektu. Szkodliwe oprogramowanie ma wiele możliwości i chociaż stwarza potencjalne zagrożenie dla użytkowników końcowych korzystających z oprogramowania opracowanego za pośrednictwem IDE firmy Apple, w rzeczywistości wydaje się być większym problemem dla samych programistów.

Wykryty malware, które jest częścią rodziny XCSSET, zawierało pliki, które sugerowały, że umożliwiają „przejęcie kontroli nad systemem operacyjnym”. Pozwoliłoby to atakującemu na przejęcie kontroli nad zainfekowanym komputerem Mac, a w dalszej kolejności wykonanie wielu różnych działań – przykładowo uzyskanie danych osobowych czy też przeprowadzenie ataku typu ransomware obejmującego szyfrowanie.

Złośliwe oprogramowanie jest „wstrzykiwane do lokalnych projektów Xcode, aby po zbudowaniu projektu uruchamiany był złośliwy kod”. Nie jest jasne, w jaki sposób kod jest obecnie wstrzykiwany do projektu. Zagrożenie jest większe, jeśli weźmiemy pod uwagę projekty udostępniane za pośrednictwem GitHuba czy innych repozytoriów kodów, ponieważ może to prowadzić do „ataku przypominającego łańcuch dostaw”. 

Uruchomiony złośliwy kod atakuje Safari i inne przeglądarki na komputerze Mac w celu uzyskania przydatnych danych użytkownika. Omija funkcję ochrony integralności systemu w systemie macOS, a także w Safari for WebKit Development. W następstwie tworzy fałszywą aplikację Safari, która działa zamiast legalnej wersji.

Do tej pory w trakcie badań nad tym malwarem, liczba wykrytych „zakażonych projektów” udostępnianych publicznie była niewielka, i nie są to szeroko stosowane projekty przez innych programistów. Większość zainfekowanych komputerów została wykryta w Chinach i Indiach.

Firma Trend Micro zaleca, aby developerzy „sprawdzali integralność swoich projektów, aby wyeliminować w przyszłości nieuzasadnione problemy, takie jak infekcja złośliwym oprogramowaniem”.