Huntress zufolge ist die auf macOS ausgerichtete Angriffskette so aufgebaut, dass zunächst ein Shell-Skript ausgeführt wird, das umfangreiche Systeminformationen sammelt. Anschließend lädt es eine Schadsoftware nach, die zur CPU-Architektur des betroffenen Rechners passt. Bei der Nutzlast handelt es sich um einen in Go geschriebenen Stealer.
Diese Malware kann Browser-Passwörter, Daten aus dem Apple Keychain sowie zwischengespeicherte Zugangsdaten erfassen und an einen entfernten Server übertragen, den die Angreifer betreiben. Wie andere macOS-Stealer versucht auch diese Schadsoftware, ihre Rechte auszuweiten. Dazu zeigt sie eine gefälschte Abfrage an, in der Nutzer unter dem Vorwand eines „unerwarteten Systemfehlers“ und der Wiederherstellung beschädigter Systemdateien ihre Systemzugangsdaten eingeben sollen.
Besonders hebt Huntress eine eingebaute „DRAIN“-Routine hervor. Sie prüft, ob eine Kryptowallet Guthaben enthält, und leitet dann einen Teil oder das gesamte Vermögen an eine von den Angreifern kontrollierte Wallet weiter. Laut Huntress gibt es mehrere Versionen dieser Funktion, je nachdem, welche Kryptowährung im Visier steht. Genannt werden Bitcoin, Litecoin, Dogecoin, Monero, Ethereum und Ripples XRP.
Andrew Brandt von Huntress erklärte, die Schadsoftware könne zwar Passwörter stehlen, ihre interessanteste Funktion sei aber die Fähigkeit, Kryptowährungskonten schrittweise zu entleeren und die Inhalte in Konten unter Kontrolle der Angreifer umzuleiten. Huntress ergänzt, man habe zwar nicht zwingend eine völlig neue Funktion gesehen, aber zum ersten Mal Malware beobachtet, die eine Kryptowallet nicht nur komplett leeren, sondern auch Beträge unterhalb des Gesamtwerts abziehen könne. Demnach enthielt die Malware getrennte Funktionen, um abhängig von der jeweils angegriffenen Kryptowährung zu berechnen, wie viel ein Prozent des Wallet-Inhalts wert ist.
Nach Angaben von Huntress lassen sich sowohl der Server zum Bereitstellen der Schadsoftware als auch der Command-and-Control-Server auf Infrastruktur der Aeza Group zurückführen. Dabei handelt es sich um einen russischen Bulletproof-Hosting-Anbieter, der von den USA, dem Vereinigten Königreich und Australien sanktioniert wurde, weil er kriminelle Akteure begünstigt haben soll.
Die Veröffentlichung fällt in eine Phase, in der in den vergangenen Wochen mehrere ClickFix-Angriffe gemeldet wurden. Zugleich verweist der Bericht auf zwei weitere Stealer-Kampagnen: In einem Fall wurde Lumma Stealer über Dateien verbreitet, die als 1080p-WEBRip- und Blu-ray-Veröffentlichungen von „The Odyssey“ getarnt waren, einer neu erschienenen Verfilmung von Homers gleichnamigem altgriechischem Epos. Eine weitere Kampagne nutzte geknackte Software und gekaperte Spiele als Köder, die über gefälschte Websites mittels SEO-Vergiftung verteilt wurden, um Remus abzulegen, eine 64-Bit-Variante von Lumma Stealer.