この攻撃ではTerminalの代わりにScript Editorを使って隠されたAppleScriptを実行し、Appleのセキュリティ更新を装いながらウォレットデータ、ブラウザー認証情報、文書を窃取する。
Mac向け新型マルウェア「Reaper」が、WeChatやMiroなどのアプリを装った偽のダウンロードページを通じて拡散しており、仮想通貨ウォレットのデータやブラウザーに保存されたパスワードの窃取を目的としている。この攻撃では、従来のTerminalベースのソーシャルエンジニアリング手法に代えて、macOSに標準搭載されているScript Editorを悪用し、applescript://リンクで隠された悪意あるコードを開く。攻撃者はASCIIアートや空白文字でコードを隠しているため、ユーザーがScript Editor内で再生ボタンをクリックすると、気付かないままペイロードを実行してしまう可能性がある。 また、この攻撃では正規サイトに見せかけるためにタイポスクワッティングされたドメインも用いられている。セキュリティ研究者は、mlcrosoft[.]co[.]comを含むMicrosoftの偽装ドメイン上で関連インフラを確認した。実行後、被害者にはコンピューターのパスワード入力を求める偽のAppleセキュリティ更新プロンプトが表示される。Reaperはその後、キーボードレイアウトを確認し、システムがロシア語設定であれば動作を停止する。そうでなければ、Atomic macOS Stealer（AMOS）をモデルにした窃取モジュールを展開する。 このマルウェアは、Ledger Live、Trezor Suite、Exodusを含むデスクトップ向け仮想通貨ウォレットアプリを標的とし、将来の取引を傍受して資金をリダイレクトするためにウォレットのコードを書き換えることができる。また、Chrome、Firefox、Edgeから保存済み認証情報を収集するほか、1PasswordやMetaMaskなどの拡張機能のデータも取得する。DesktopおよびDocumentsフォルダー内の.docx、.pdf、.xlsx、.wallet、.keys拡張子の文書は70MBごとのZIPチャンクに圧縮され、外部のコマンド・アンド・コントロールサーバーに送信される。永続化のため、ReaperはGoogle Software Updateディレクトリを装ったバックドアをインストールする。 Moonlockによると、Reaperはこの自動化されたAppleScript手法を使う約2カ月間で3件目の攻撃キャンペーンである。MicrosoftのDefender Security Research Teamも、Medium、Craft、Squarespace上の偽のmacOSトラブルシューティングガイドを使い、ClickFixの手法でAMOS、Macsync、SHub Stealerを配布した関連キャンペーンを記録している。これは、ユーザー自身に悪意ある命令を実行させる戦術である。Cryptopolitanは以前、これらのキャンペーンが正規のウォレットアプリを削除し、ひそかに悪意あるバージョンへ置き換えていたと報じていた。