macOS‑Malware Lazarus Mach‑O nutzt gefälschte Telegram‑Meeting‑Einladungen, um Krypto‑Zugangsdaten zu stehlen

Die nordkoreanische Lazarus-Gruppe setzt die macOS-Malware „Mach-O Man“ ein, um Crypto- und Fintech-Führungskräfte mittels Social Engineering anzugreifen. Der Angriff beginnt mit dringenden Meeting-Einladungen, die über Telegram verschickt werden und sich als Zoom, Microsoft Teams oder Google Meet ausgeben, und leitet die Opfer dann mit der ClickFix-Technik auf eine gefälschte Seite weiter — wo Nutzer aufgefordert werden, einen Terminal-Befehl einzufügen, um ein Verbindungsproblem „zu beheben“. Nach der Ausführung installiert das Mach-O Man-Toolkit modulare Mach-O-Komponenten, um das Gerät zu profilieren, Persistenz zu etablieren und Zugangsdaten sowie Browserdaten zu stehlen. Die Exfiltration erfolgt über einen Telegram-basierten Command-and-Control-Kanal. Das automatische Löschverhalten der Malware nach der Ausführung erschwert Incident Response und Forensik. CertiK verknüpft die Kampagne mit der Lazaus-Einheit Famous Chollima und berichtet, dass sie über kompromittierte Telegram-Konten ausgeliefert wurde, die auf hochrangige Organisationen mit digitalen Vermögenswerten abzielten. Der Bericht stellt zudem eine Verbindung von Mach-O Man zu einer breiteren Diebstahlwelle von Lazarus her, bei der in den letzten zwei Wochen mehr als 500 Mio. USD von den DeFi-Plattformen Drift und KelpDAO gestohlen wurden. Für Krypto-Trader lautet die praktische Schlussfolgerung Risikokontrolle: Behandle unerwartete Meeting-Anfragen — insbesondere solche, die Terminal-Befehle anweisen — als hochriskanten Social-Engineering-Versuch von Lazarus Mach-O Man. Verifiziere Einladungen über einen separaten Kanal, bevor du Links anklickst oder Anweisungen ausführst.