谷歌( Google )研究人員周四披露，他們在 8 月底發現了一個利用 macOS 作業系統中現已打上補丁的「零日」( zero - day )進行攻擊的漏洞，攻擊目標是與一家媒體和一個支持民主的知名勞工和政治團體有關的香港網站，目的是在遭到攻擊的機器上提供一個從未見過的後門。
「根據我們的調查結果，我們認為這個威脅行為者是一個資源充足的群體，可能有國家支持，根據有效負載代碼的質量，可以訪問他們自己的軟體工程團隊，」谷歌威脅分析小組（ TAG ）研究員埃爾耶·埃爾南德斯在一份報告中說。
追蹤到 CVE - 2021 - 30869（ CV SS 評分：7.8分）安全缺陷涉及一個類型混淆漏洞，該漏洞會影響 X NU 內核組件，從而導致惡意應用程式以最高權限執行任意代碼。
蘋果最初將 macOS Big Sur 設備的問題作為 2 月 1 日發貨的安全更新的一部分來解決，但在 9 月 23 日有報導稱在野生環境中被利用後，蘋果又推出了針對 macos Catalina 設備的獨立更新——兩個補丁之間的差距為 234 天——這突顯了一個案例，即在解決作業系統不同版本之間的漏洞時出現的不一致，可能會被威脅參與者利用為自己的優勢。
TAG 觀察到的攻擊涉及一個串聯在一起的 CVE - 2021 - 1789 漏洞鏈，WebKit 中的一個遠程代碼執行 bug 於 2021 年 2 月修復，前面提到的 CVE - 2021 - 30869 可以突破 Safari 沙箱，提升權限，從遠程伺服器下載並執行名為「 MA CMA 」的第二階段有效負載。
Google TAG 稱，這款此前未被證的惡意軟體是一款功能齊全的植入軟體，其特點是「廣泛的軟體工程」，具有記錄音頻和擊鍵、為設備採集指紋、捕捉屏幕、下載和上傳任意文件以及執行惡意終端命令的功能。上傳到 Virus Total 的後門示例顯示，目前沒有反惡意軟體引擎檢測到文件為惡意。
據安全研究員 Patrick Wardle 稱， 2019 年的 MA CMA 變種偽裝成 Adobe Flash Player ，二進位文件在安裝後顯示中文錯誤信息，表明「該惡意軟體面向中國用戶」，「該版本的惡意軟體旨在通過社會工程方法部署。「而 2021 版本則是為遠程開發而設計的。
這些網站含有惡意代碼，從一個攻擊者控制的伺服器服務漏洞，也作為一個水坑目標 iOS 用戶，儘管使用不同的漏洞鏈交付給受害者的瀏覽器。Google TAG 表示，它只能恢復部分感染流，其中一個類型混淆 bug （ CVE - 2019 - 8506 ）被用於在 Safari 中獲得代碼執行。
與該運動有關的其他妥協指標( IOC )可在此查閱。