Podczas swojego działania, aplikacja regularnie wykonuje zrzuty ekranu, które przechowuje w folderze oznaczonym „MacApp”. Szkodnik starał się nawiązać kontakt z dwoma serwerami command-and-control, jednak próba połączenia z jednym z nich się nie powiodła, natomiast drugi był nieaktywny.
Najdziwniejsze w tym przypadku jest to, że katalog macs.app, na który zapisywane są zrzuty, został cyfrowo podpisany przez swojego autora. W systemie Mac OS X Apple wprowadziło dodatkową ochronę w postaci Gatekeeper. Oznacza to, że aplikacje muszą zostać podpisane za pomocą ID Apple Developera. W przeciwnym razie Gatekeeper przedstawi użytkownikowi ostrzeżenie. Szkodnik został podpisany za pomocą obcego klucza lub… być może, twórca złośliwego oprogramowania jest niezwykle łatwy do wyśledzenia.
Źródło: H-Online