Cryptobedrijven zijn het doelwit van een phishingaanval waarbij gebruik wordt gemaakt van macOS-malware, zo laat securitybedrijf SentinelOne weten. De aanval begint met een e-mail die zich voordoet als een doorgestuurd bericht van een bekende 'crypto social media influencer', aldus de onderzoekers. Het bericht bevat zogenaamd nieuws over ontwikkelingen op het gebied van crypto en een link.

De link lijkt naar een pdf-document te wijzen, maar wijst in werkelijkheid naar een malafide applicatie, zoals 'Hidden Risk Behind New Surge of Bitcoin Price.app'. Wanneer de gebruiker de app opent wordt in de achtergrond een legitiem pdf-bestand gedownload en in de standaard ingestelde pdf-lezer weergegeven. Daarnaast wordt er ook een backdoor gedownload en geïnstalleerd, waarmee de aanvallers toegang tot het systeem krijgen.

MacOS waarschuwt gebruikers voor 'background Login Items', zoals LaunchAgents en LaunchDaemons waar malware gebruik van kan maken om op het systeem actief te blijven. In het geval van de nu ontdekte malware wordt hiervoor gebruikgemaakt van een configuratiebestand voor de Zsh shell. "Het infecteren van de host met een malafide Zshenv-bestand biedt een krachtigere vorm van persistence. Hoewel deze techniek niet onbekend is, is het de eerste keer dat we het in het wild door malwareontwikkelaars gebruikt zien worden", aldus de onderzoekers, die vermoeden dat de aanvallen het werk zijn van een aan Noord-Korea gelieerde groep.