Wie die Malware die Projekte infiziert, ist nicht bekannt. Von dort aus gelangt sich jedoch auf die Macs ihrer Opfer, sobald ein Xcode-Projekt ausgeführt wird. XCSSET nutzt zwei Zero-Day-Lücken aus, um über Safari und andere Browser Nutzerdaten zu stehlen.
