Вирус для макбуков использует специальную ссылку формата applescript://. После перехода по ней автоматически открывается встроенное приложение для работы со скриптами, через которое запускается вредоносный код.
После запуска кода пользователь видит фальшивое уведомление об обновлении системы и запрос на ввод пароля macOS. Получив необходимые разрешения, вирус начинает извлекать данные из браузеров и криптокошельков, включая MetaMask, Phantom, Exodus, Atomic Wallet, Ledger Live, Electrum и Trezor Suite.
В состав Reaper входит модуль для поиска документов на компьютере жертвы. Модуль сканирует рабочий стол и папку «Документы», отбирая файлы, которые могут содержать конфиденциальную информацию. Общий объем собираемых данных может достигать 150 МБ, уточнили специалисты по безопасности.
Эксперты SentinelOne считают, что вирус способен закрепляться в системе, маскируясь под обновления сервисов Google. По оценке аналитиков, разработчики Reaper продолжают совершенствовать программу, расширяя ее возможности по сбору данных и удаленному доступу к зараженным компьютерам.
Ранее аналитики работающей в сфере кибербезопасности компании CrowdStrike сообщили, что вредоносная программа Shamos, разработанная группировкой COOKIE SPIDER, похищает данные криптокошельков с устройств на macOS.