Onderzoekers van Microsoft hebben een backdoor voor Mac OS X ontdekt die in een Windows backdoor verstopt zat. Het bestand waarin de backdoor werd aangetroffen was genaamd “PortalCurrent events-2009 July 5.rar" en was anoniem naar VirusTotal geüpload. Volgens Microsoft suggereert de inhoud dat het van de Wikipedia community portal afkomstig is en informatie over vijf juli 2009 bevat. De laatste aanpassing zou echter een jaar geleden zijn aangebracht. Dat zou er mogelijk op kunnen duiden dat het bestand gebruikt is om een backdoor in te verstoppen.

In het rar-archief zaten twee uitvoerbare bestanden, een voor Windows en een voor Mac OS X. Daarbij beschikt de Windows backdoor over een geldig digitaal certificaat van een Chinees bedrijf, dat inmiddels is ingetrokken. De Mac backoor installeert zichzelf in de achtergrond, zonder dat het hier root of adminrechten voor gebruikt. Het vermomt zichzelf als een Google applicatie. Eenmaal geinstalleerd maakt de backdoor verbinding naar het IP-adres 121.254.173.57. Eenmaal verbonden heeft de aanvaller toegang tot alle bestanden op de computer.

Meths Ferrer van Microsoft merkt op dat de features en broncode van de Olyx backdoor overeenkomen met de Ghostnet backdoor, die enkele jaren geleden bij tal van ambassades werd aangetroffen.