Atacatorii au deturnat două servicii de mirror pentru partajarea fișierelor utilizate pe scară largă—Mirrored.to și Mirrorace.org—pentru a distribui malware de tip infostealer. Prin injectarea de cod malicios în aceste platforme, actorii de amenințare au transformat infrastructura de descărcare de încredere în mecanisme de livrare a malware-ului. Utilizatorii care încearcă să descarce fișiere sunt redirecționați prin multiple pagini intermediare concepute să ocolească detectarea de securitate, menținând în același timp o aparență de legitimitate.​

Cercetătorii au observat că atacatorii au compromis 50 de conturi GitHub, multe având istorice consacrate care datează de câțiva ani, pentru a găzdui depozite malițioase. Aceste conturi au fost predominant deturnate în noiembrie 2025 și refolosite pentru a distribui software crackat și instrumente de activare care vizează utilizatorii în căutare de software piratat.

Campania utilizează tehnici avansate de evaziune, inclusiv semnarea codului cu certificate valide, ceea ce permite malware-ului să pară legitim pentru software-ul de securitate. Utilizatorii Windows sunt redirecționați către servicii de stocare în cloud precum MediaFire și Dropbox, unde arhivele protejate cu parolă conțin malware-ul semnat.

​

Metodologia de atac variază în funcție de sistemul de operare. Programul malware pentru Windows funcționează ca un infostealer, capturând capturi de ecran, extragând date din portofele de criptomonede, baze de date ale aplicațiilor de mesagerie, acreditări din browsere și copiind fișiere din folderele Desktop, Documente și Descărcări.​

Victimele macOS întâlnesc atacuri ClickFix—pagini înșelătoare care îi determină pe utilizatori să execute manual comenzi în terminal care descarcă și instalează MacSync Stealer. Acest malware funcționează fără fișiere în memorie, vizând date din browsere, acreditări ale portofele hardware, inclusiv Ledger și Trezor, chei SSH și acreditări AWS.

Utilizatorii iOS sunt direcționați către aplicații VPN frauduloase din Apple App Store care ulterior lansează atacuri de phishing împotriva dispozitivelor lor.

​

Operatorii campaniei își actualizează în mod continuu instrumentele și infrastructura, modificând semnăturile malware-ului și metodele de livrare la intervale scurte pentru a evita detectarea antivirus, au declarat cercetătorii GRAPH.​

Echipele de securitate ar trebui să implementeze protecție multicalibrată pentru punctele terminale, inclusiv sisteme EDR capabile să detecteze comportamente neobișnuite ale proceselor și tipare suspecte de acces la fișiere, și să concentreze monitorizarea rețelei pe conexiunile către serviciile de partajare a fișierelor și domeniile recent înregistrate.