Ausgangspunkt des von Huntress untersuchten Falls war eine ClickFix-Kette gegen einen macOS-Nutzer. Der Empfänger bekam eine E-Mail mit einem Link auf eine Webseite, die ihn aufforderte, einen Terminal-Befehl auszuführen. Dieser Befehl lud ein Bash-Skript nach, das als Profiler und Malware-Loader diente.

Das Skript sammelte Systeminformationen wie CPU und Arbeitsspeicher und lud danach eine Mach-O-Nutzlast, die zur Prozessorarchitektur des betroffenen Systems passte. Außerdem ermittelte der Profiler den Kontonamen des aktuell angemeldeten Nutzers und legte ein Verzeichnis an, dessen Name an trustd angelehnt war, also an den macOS-Prozess zur Prüfung kryptografischer Zertifikate und Codesignaturen.

In dieses Verzeichnis kopierte die Kette die Infostealer- und Krypto-Drainer-Nutzlast unter dem Namen com.apple.verified. Anschließend entfernte sie das erweiterte Attribut com.apple.quarantine. Damit sollte verhindert werden, dass Gatekeeper die Datei als unter Quarantäne stehend behandelt und beim Ausführen eine Sicherheitswarnung anzeigt.

Laut der Analyse von Huntress sorgt die Malware für Persistenz und erweitert ihre Rechte, indem sie mit Hilfe des Werkzeugs osascript eine gefälschte Fehlermeldung erzeugt und so Systemzugangsdaten einsammelt. Die Stealer-Komponente durchsucht den Speicher nach Dateien mit Zugangsdaten und identifiziert diese sowohl über den Namen als auch über die Dateiendung.

Im Visier stehen nach Angaben von Huntress „Browser-Passwortdatenbanken, der Apple-Schlüsselbund und zwischengespeicherte Zugangsdaten in Browser-Cookies“. Dazu kommt eine Funktion, die über den klassischen Datendiebstahl hinausgeht: Die Go-basierte Malware enthält Code, der Kryptowährungstransaktionen vor der Signatur verändert. Sie kann so konfiguriert werden, dass nur ein bestimmter Prozentsatz der Gelder an die Angreifer umgeleitet wird.

Huntress betont, dass es sich dabei um das erste von dem Unternehmen analysierte Beispiel eines Krypto-Drainers handelt, der nicht zwingend das gesamte Wallet leert, sondern auch weniger als den Gesamtbetrag abziehen kann. Die Forscher beobachteten zudem getrennte Funktionen, die abhängig von der jeweiligen Kryptowährung den Wert von 1 Prozent des Wallet-Inhalts berechnen.

Zu den anvisierten Kryptowerten gehören Bitcoin, Litecoin, Dogecoin, Monero, Ethereum und Ripples XRP. Die Malware ist darüber hinaus in der Lage, Transaktionen abzufangen und umzuleiten. Laut Huntress kommuniziert sie mit gemeinsam genutzten IP-Adressen im Autonomen System 210644, das „von einem russischen Unternehmen betrieben wird, das als Aeza Group bekannt ist“.

Wie Huntress weiter schreibt, wurden das Unternehmen und mit ihm verbundene Personen von den USA und dem Vereinigten Königreich sanktioniert, weil sie Bulletproof-Hosting-Dienste für Ransomware-Gruppen bereitgestellt haben.