Grupa operująca pod kryptonimem REF8801 wykorzystuje zaufanie deweloperów sektora kryptowalut, podszywając się pod fundusz venture capital Apex Accelerator. Atak polega na dystrybucji złośliwych pakietów npm, takich jak @apexacc/cli oraz @apexacc/audit, które obiecują dostęp do narzędzi AI i audytów bezpieczeństwa. W rzeczywistości pakiety te nie dostarczają żadnej obiecanej funkcjonalności, a jedynie infekują systemy użytkowników.
Na systemach Windows malware wykorzystuje zaawansowane techniki, takie jak obchodzenie mechanizmu UAC, patchowanie AMSI i ETW oraz unhooking ntdll.dll w celu oślepienia systemów bezpieczeństwa. Skradzione dane, w tym hasła, ciasteczka sesyjne (z obejściem zabezpieczeń Chrome ABE) oraz dane z portfeli kryptowalutowych, są wyprowadzane przez Telegram. Na systemach macOS infekcja opiera się na backdoorze CloudSyncD, który wykorzystuje phishingowe okna logowania w celu przejęcia uprawnień sudo.
Kampania jest wyjątkowo przebiegła, ponieważ sprawcy starają się budować wiarygodność, pojawiając się na dużych wydarzeniach branżowych, takich jak TOKEN2049 w Singapurze. Dodatkowo, złośliwe narzędzia potrafią przechwytywać i przekierowywać zapytania do modeli AI przez serwery kontrolowane przez atakujących, co pozwala na manipulację wynikami lub kradzież kontekstu rozmów.
