1. Phexia is een macOS-malwarefamilie die sinds eind 2025 actief is en sinds begin 2026 steeds vaker wordt aangetroffen. De malware wordt verkocht aan criminele groepen, wat leidt tot aanhoudende infecties.
2. De infectie begint meestal doordat Mac-gebruikers een commando in Terminal plakken. Dit commando maakt gebruik van `curl` om een shellscript te downloaden en direct uit te voeren met `bash`.
3. De methode, bekend als ClickFix, houdt in dat een valse verificatie of oplossing wordt getoond, waarna de gebruiker zelf de gevaarlijke stap uitvoert door het commando te plakken. Een voorbeeld van een dergelijke misleidende leveringsmethode is een typosquatted domein, zoals waargenomen bij een infectie op 6 juli.
4. De gedownloade shellscripts, vaak met de naam `update.sh`, werden gehost op willekeurige subdomeinen.
5. Het script voert een AppleScript dropper uit, die een LaunchAgent plaatst in de gebruikersbibliotheek. Deze LaunchAgent is zo geconfigureerd dat deze opnieuw start als deze stopt. De loader is opgeslagen als Base64-tekst binnen het LaunchAgent-bestand.
6. Vanaf juni tot medio september 2026 gebruikten de builds een label dat begon met "com." gevolgd door 16 kleine letters. Vanaf oktober 2026 werd dit gewijzigd naar "com.Apple." gevolgd door 16 letters. Ter vergelijking, echte Apple-labels gebruiken kleine letters, terwijl deze malwaresamples een hoofdletter "A" gebruikten in het label.
7. Na installatie nestelt de malware zich op de Mac. Het vraagt het loginwachtwoord van de gebruiker, waarbij een tool genaamd `dscl` de juistheid van het wachtwoord test. Een valse "Systeemvoorkeuren" prompt kan herhaaldelijk om het wachtwoord blijven vragen totdat het correct is ingevoerd. Het correcte wachtwoord wordt vervolgens opgeslagen in een verborgen bestand genaamd `.passphrase`.
8. De malware steelt browsergegevens. Het kopieert "Safe Storage" sleutels van Chrome, Edge, Brave, Opera en Vivaldi, evenals cookies, geschiedenis en opgeslagen loginbestanden uit deze browsers.
9. Daarnaast worden ook LastPass en NordPass extensie stores, de login keychain en Safari cookies gekopieerd.
10. De gestolen gegevens worden gecomprimeerd en via HTTP geüpload naar een commandserver en een tweede server op 62.60.226[.]50.
11. Na installatie communiceert de backdoor met een server voor extra modules. Sinds mei 2026 wordt het serveradres uitgelezen uit een smart contract op de Polygon blockchain, een methode genaamd EtherHiding. De loader haalt het actuele adres op via publieke Polygon endpoints en vraagt vervolgens de volgende module van die host. Een operator kan een nieuwe server instellen door één blockchaintransactie te versturen. Eén smart contract werd gebruikt van 14 juni tot 22 oktober 2026. Een ander contract verscheen op 27 oktober 2026 en leidde naar dhsbdgs[.]icu.
12. De operators installeren ook de XMRig Monero miner en veranderen regelmatig mining pools en wallets.
13. Oudere infecties bleven na een contractwijziging ongeveer een maand contact zoeken met een oudere domein. Bij herinfectie konden twee builds parallel lopen, waarbij de oudere nog meer dan 20 minuten taken ontving.
14. De recente ClickFix-misbruiken, zoals die van Script Editor en de Atomic Stealer campagne, tonen aan hoe snel aanvallers instappunten veranderen en dezelfde sociale truc gebruiken.
15. Analisten van WithSecure identificeerden de malware en publiceerden hierover op 4 november 2026.
16. Voor detectie wordt het gebruik van bestaande indicatoren en het controleren op meerdere LaunchAgents per Mac aangeraden. Bestands-hashes zijn minder nuttig, omdat de malware ingebouwde Apple-tools gebruikt en elke build anders is geobfusceerd. Gedragsanalyse wordt aanbevolen, zoals Terminal-sessies die scripts downloaden en `osascript` lanceren, LaunchAgents die Base64 decoderen naar `osascript`, Polygon-lookup's van scriptprocessen en `dscl` wachtwoordcontroles.
17. Beïnvloede gebruikers wordt aangeraden de Mac te isoleren, kwaadaardige LaunchAgents te verwijderen, wachtwoorden te resetten vanaf een schoon apparaat, sessies in te trekken en de blootstelling van wachtwoordmanagers en wallets te beoordelen.
18. Gebruikers wordt afgeraden om ooit commando's van websites in Terminal te plakken.