Malware macOS Lazarus Mach-O usa falsas invitaciones a reuniones de Telegram para robar credenciales de criptomonedas

El grupo Lazarus de Corea del Norte está desplegando el malware para macOS llamado “Mach-O Man” para dirigirse a ejecutivos de criptomonedas y fintech mediante ingeniería social. El ataque comienza con invitaciones urgentes a reuniones enviadas por Telegram, que se hacen pasar por Zoom, Microsoft Teams o Google Meet, y luego redirigen a las víctimas a un sitio falso usando la técnica ClickFix, que solicita a los usuarios que peguen un comando de terminal para “arreglar” un problema de conexión. Tras su ejecución, el kit Mach-O Man instala componentes modulares Mach-O para perfilar el dispositivo, establecer persistencia y robar credenciales y datos del navegador. La exfiltración se enruta a través de un canal de mando y control basado en Telegram. El comportamiento del malware de autoeliminarse después de la ejecución dificulta la respuesta a incidentes y la investigación forense. CertiK vincula la campaña con la unidad Famous Chollima de Lazarus y afirma que se entregó mediante cuentas de Telegram comprometidas dirigidas a organizaciones de alto valor en activos digitales. El informe también relaciona a Mach-O Man con una ola mayor de robos de Lazarus, con más de 500 millones de dólares robados a plataformas DeFi como Drift y KelpDAO en las últimas dos semanas. Para los traders de criptomonedas, la recomendación práctica es el control de riesgos: trate las invitaciones a reuniones inesperadas, especialmente las que indican ejecutar comandos de terminal, como un intento de ingeniería social de alto riesgo por Lazarus Mach-O Man. Verifique las invitaciones por un canal separado antes de hacer clic en enlaces o ejecutar instrucciones.