มัลแวร์ในกลุ่มนี้มีความโดดเด่นด้านการปรับตัว โดยสามารถเขียนโค้ดสดบนเครื่องเหยื่อได้ ปีที่แล้วพบมากถึง 3 ตัว
มัลแวร์จะแอบแฝงในส่วนเสริมปลอมที่ทำตัวนิ่งเงียบในระบบจนถึงเวลาที่เหมาะสมจึงค่อยดาวน์โหลดมัลแวร์ลงมาติดตั้ง
การโจมตีนั้นเข้าใจง่าย เพราะเพียงแค่แฮกเข้าเว็บไซต์แล้วสับเปลี่ยนที่อยู่ไฟล์ยังไฟล์ติดตั้งปลอมเพียงเท่านั้น
เครื่องมือนี้นอกจากจะช่วยให้แทรกโค้ดทำ ClickFix โดยง่ายแล้ว ยังช่วยปรับเปลี่ยนโหมดการหลอกให้เข้ากับ OS ได้ด้วย
มัลแวร์ตัวนี้ได้ปรับจาก PoweShell มาใช้งาน Apple Script แทนเพื่อแทรกตัวเข้าระบบ มุ่งหน้าขโมยเหรียญคริปโต
มัลแวร์ดังกล่าวใช้งาน Developer ID ของแท้เพื่อหลอกระบบ Gatekeeper และ Xprotect จนลอบเข้าระบบได้สำเร็จ
โฆษณาโอ้อวดว่ามัลแวร์ทำงานช่วง Startup เพื่อดักปิด EDR แล้วเลี่ยงการถูกตรวจจับโดย UAC ตอนอัปเกรดสิทธิ์ได้
อัปเดตใหม่จะลดการทำ Indexing ที่ซ้ำซ้อนขณะค้นหารูป หรือไฟล์จำนวนมาก ทำให้ลดการกินแรม และลดความหน่วงของเครื่อง
พูดคุยกับ Sarun_ss777