Según un mensaje de BlockBeats, el 15 de abril, la agencia de investigación de seguridad Elastic Security Labs reveló una nueva campaña de ingeniería social dirigida a personal de los sectores financiero y de criptomonedas. Los atacantes se hicieron pasar por firmas de capital de riesgo en LinkedIn y Telegram para engañar a sus objetivos y hacer que abrieran repositorios de notas de Obsidian con cargas útiles maliciosas integradas, que luego desplegaron el troyano de control remoto de Windows PHANTOMPULSE, previamente no registrado.

Este ataque no explota ninguna vulnerabilidad de software, sino que abusa del plugin Shell Commands de Obsidian para ejecutar automáticamente código malicioso al abrir el repositorio de notas. En el lado de macOS, se utiliza un lanzador de AppleScript ofuscado junto con un canal de Telegram como servidor de control de comandos de respaldo. En el lado de Windows, se aprovechan los datos de transacciones de Ethereum para lograr una resolución de direcciones C2 basada en blockchain.