Bei der von Any.Run beschriebenen Kampagne kontaktieren die Angreifer Führungskräfte über Telegram, häufig über die kompromittierten Konten von Personen, die das Opfer kennt. Mit gefälschten Einladungen zu Besprechungen werden die Betroffenen auf Webseiten gelockt, die Zoom, Microsoft Teams oder Google Meet nachahmen. Dort sollen sie ein vorgetäuschtes Verbindungsproblem „beheben“, indem sie einen Befehl kopieren und im Terminal ausführen.
Dadurch werden in Go geschriebene Mach-O-Binärdateien gestartet, die zu einem Schadprogramm-Baukasten namens Mach-O Man gehören. Die Programme sammeln Zugangsdaten, Systemgeheimnisse wie Keychain-Einträge und Browser-Sitzungen. Die erbeuteten Daten werden anschließend über Telegram abgeflossen.
Die zweite Kampagne schreibt Microsoft der Gruppe Sapphire Sleet zu. Anders als bei ClickFix, das auf die Mitwirkung der Opfer beim Kopieren der Befehle angewiesen ist, kommt hier kompiliertes AppleScript zum Einsatz. Die heruntergeladene Datei öffnet sich automatisch im macOS-Skripteditor und führt eingebettete Shell-Befehle aus.
Den Zugang verschaffen sich die Angreifer über gefälschte Profile von Personalvermittlern auf Online-Plattformen. Sie verwickeln ihre Ziele in Gespräche und laden sie zu vermeintlichen technischen Vorstellungsgesprächen ein. Während dieser fingierten Interviews sollen die Opfer Schadsoftware installieren, die als Videokonferenz-Werkzeug oder als Update für ein Software-Development-Kit (SDK) ausgegeben wird.
Die Infektionskette ist komplex: Mehrere AppleScript-Nutzlasten werden nacheinander ausgeführt und führen schließlich zum Einsatz mehrerer Backdoors. Der Angriff zielt zudem darauf, sich dauerhaft im System einzunisten und erweiterte Rechte zu erlangen.
Die eingesetzten Schadprogramme führen eine Erkundung des Systems durch, listen installierte Anwendungen auf und greifen eine breite Palette an Daten ab: Telegram-Daten, Browser-Profile und die zugehörigen Datenbanken, Keychain-Datenbanken, Krypto-Wallets, SSH-Schlüssel, den Shell-Verlauf, die Datenbank von Apple Notes sowie Systemprotokolle.