Mac можно заразить одной командой в «Терминале», а адрес хакерского сервера вредоносная программа найдёт в блокчейне. Специалисты WithSecure выяснили, что бэкдор Phexia крадёт пароли и данные браузеров в macOS, а для связи с операторами обращается к смарт-контракту Polygon. Такой механизм позволяет сменить управляющий сервер без обновления вредоносного кода на заражённом компьютере.
Phexia действует как минимум с конца 2025 года, а с начала 2026-го WithSecure наблюдает рост числа заражений. В известных случаях атака начиналась со схемы ClickFix. Поддельная проверка или инструкция убеждала пользователя вставить команду, которая скачивала сценарий через curl и запускала через bash. Для большинства заражений конкретные сайты-приманки установить не удалось.
Сценарий запускал AppleScript и создавал задание LaunchAgent, которое автоматически возобновляло работу вредоносной программы. Загрузчик хранился внутри конфигурации задания в закодированном виде, без отдельного читаемого файла. В октябрьских сборках название задания начиналось с com.Apple, чтобы выглядеть как компонент macOS и не привлекать внимания.
С мая 2026 года операторы испытывали получение адресов через Polygon, а с середины июня уже применяли схему в атаках. Phexia запрашивает у смарт-контракта домен управляющего сервера через публичные узлы блокчейна. Приём называют EtherHiding. Достаточно поменять значение в контракте, чтобы новые подключения шли на другой сервер, даже если старый домен заблокировали.
С 14 июня по 22 октября обращения вели к одному контракту Polygon, а 27 октября появилась сборка с другим контрактом. За этот период WithSecure выявила 14 управляющих доменов. При этом заражённые Mac не всегда сразу переключались на новый адрес. Старые серверы получали запросы неделями, а повторное заражение иногда оставляло две активные версии Phexia на одном компьютере.
Бэкдор проверял пароль учётной записи macOS системной командой dscl и сохранял верный вариант в скрытом файле. В отдельных случаях пароль удавалось получить менее чем за минуту, иногда спустя восемь минут. Проверки также возобновлялись примерно через 22 часа после заражения. Пароль передавался как аргумент процесса и мог попасть в журналы средств защиты.
Модули Phexia собирали профили Chrome, Edge и других браузеров, связку ключей macOS, данные расширений LastPass и NordPass, а также cookie Safari. Для доступа к защищённому файлу Safari использовался Finder. Сведения архивировались и отправлялись на два сервера, в том числе по обычному HTTP. Поиск установленных криптокошельков подтверждён, но кража их содержимого не установлена.
Помимо кражи данных, злоумышленники запускали на заражённых Mac майнер XMRig для добычи Monero. Команды повторно устанавливали программу и меняли майнинговые пулы. WithSecure советует проверять подозрительные LaunchAgent и обращения сценариев к Polygon. При подтверждённом заражении необходимо удалить все вредоносные задания и сменить пароли с незаражённого устройства.