Criminelen vervangen de cryptowallets van gehackte Mac-gebruikers door getrojaniseerde versies waarmee zij volledige controle krijgen. Dit betreft onder andere wallets van Ledger, Exodus en Trezor, zo meldt Microsoft.

De infectie start met een ClickFix-aanval, waarbij gebruikers worden misleid om malafide commando's uit te voeren. In plaats van de gebruikelijke CAPTCHA's bevatten deze aanvallen instructies om schijfruimte vrij te maken of software te downloaden. In werkelijkheid zorgen deze commando's voor het downloaden van infostealer-malware. Deze malware steelt opgeslagen inloggegevens, notities, mediabestanden, Telegram-data, Keychain-informatie, iCloud-accountgegevens en diverse documenten.

Daarnaast zoekt de malware specifiek naar cryptowallets en steelt de bijbehorende data. Bij aanwezigheid van Ledger, Exodus en Trezor wallets vervangt de malware deze door getrojaniseerde versies, waardoor de aanvallers transacties kunnen onderscheppen en controleren. Microsoft waarschuwt dat deze getrojaniseerde wallets een ernstig risico vormen voor gebruikers die niet weten dat hun wallet is gecompromitteerd.

Apple heeft inmiddels maatregelen genomen om deze dreiging tegen te gaan. De ingebouwde virusdetectietool Xprotect in macOS kan de malware detecteren en vanaf macOS 26.4 zijn extra beveiligingen toegevoegd om ClickFix-aanvallen te blokkeren.