Windows Phone Link Exploited by CloudZ RAT to Steal Credentials and OTPs

Cybersecurity researchers have disclosed details of an intrusion that involved the use of a CloudZ remote access tool (RAT) and a previous undocumented plugin dubbed Pheno with the aim of facilitating credential theft.

"According to the functionalities of the CloudZ RAT and Pheno plugin, this was with the intention of stealing victims' credentials and potentially one-time passwords (OTPs)," researchers said in a Tuesday analysis.

Novel Attack Vector

What makes the attack novel is that CloudZ uses the custom Pheno plugin to hijack the established PC-to-phone bridge by abusing the Microsoft Phone Link application, permitting the plugin to monitor for active Phone Link processes and potentially intercept sensitive mobile data like SMS and one-time passwords (OTPs) without the need for deploying malware on the phone.

The findings demonstrate how legitimate cross-device syncing features can expose unintended attack pathways to credential theft and help bypass two-factor authentication. What's more, it obviates the need to compromise the mobile device itself.

The malware has been put to use as part of an intrusion that's been active since at least January 2026. Built into Windows 10 and Windows 11, Phone Link offers a way for users to pair their computer with an Android device or iPhone over Wi-Fi and Bluetooth.

Attack Chain and Capabilities

The attack chain is said to have employed an as-yet-undetermined initial access method to obtain a foothold and drop a fake ConnectWise ScreenConnect executable that's responsible for downloading and running a .NET loader.

• BrowserSearch - Exfiltrate web browser data
• GetWidgetLog - Exfiltrate Phone Link recon logs and data
• RunShell - Execute shell commands

"The attacker used a plugin called Pheno to perform reconnaissance of the Windows Phone Link application in the victim machine," the researchers concluded.