Isto faz com que o primeiro e-mail seja enviado pela própria vítima, conferindo uma credibilidade imediata à comunicação e enganando os filtros de segurança que analisam a reputação do remetente.

Os atacantes mantêm conversas de cariz profissional durante semanas, chegando a solicitar a assinatura de acordos de confidencialidade (NDAs) para reforçar a legitimidade da interação. Numa fase posterior, enviam um ficheiro ZIP que, para além de documentos legítimos, contém um ficheiro de atalho (LNK) malicioso. Quando executado, este ficheiro ativa um script PowerShell que instala o implante MixShell, permitindo a execução remota de comandos e a exfiltração de dados. A investigação identificou que os principais alvos são empresas industriais e de cadeias de fornecimento críticas nos EUA. Rui Duro, Country Manager da Check Point em Portugal, afirmou que “A ZipLine é um exemplo claro de inovação no phishing”, alertando para a necessidade de as organizações reforçarem as defesas contra engenharia social sofisticada, incluindo a monitorização de canais de entrada e a formação de colaboradores.