北朝鮮系の脅威アクターが、偽のmacOSアップデートページを使用してユーザーを欺き、暗号資産を盗む悪意のあるソフトウェアにさらしている。このキャンペーンは、ユーザーがターミナルからコマンドを実行する必要があるClickFix技術を利用し、EthereumスマートコントラクトからC2サーバーを取得する独自の方法で動作している。

このキャンペーンは、ユーザーが検索結果からクリックしたウェブサイトから始まり、偽のアップデート画面を表示してユーザーにターミナルからコマンドを実行させる。このコマンドは、Node.jsベースのバックドアをインストールし、システムに永続的に存在する能力を与える。さらに、EthereumコントラクトからC2サーバーを取得し、2つの異なる悪意のあるペイロードを配布する。

この悪意のあるソフトウェアは、157種類の暗号資産ウォレットとさまざまなブラウザデータを盗むために設計された情報盗み取りツールであり、Chromeにサイドロードされた悪意のある拡張機能を使用してユーザーのウォレットを空にする。このキャンペーンは、偽の求人広告や開発者リクルートメントなどの手法に加え、より広範な検索シナリオでも利用可能であることが観察されている。