Le malware macOS Lazarus Mach‑O utilise de fausses invitations à des réunions Telegram pour voler des identifiants crypto

Le groupe Lazarus de Corée du Nord déploie le malware macOS « Mach-O Man » pour cibler des dirigeants du secteur crypto et fintech via l’ingénierie sociale. L’attaque commence par des invitations de réunion urgentes envoyées sur Telegram, se faisant passer pour Zoom, Microsoft Teams ou Google Meet, puis redirige les victimes vers un faux site en utilisant la technique ClickFix — incitant les utilisateurs à coller une commande terminal pour « réparer » un problème de connexion. Après exécution, la boîte à outils Mach-O Man installe des composants Mach-O modulaires pour profiler l’appareil, établir une persistance et voler des identifiants ainsi que des données de navigateur. L’exfiltration est routée via un canal de command-and-control basé sur Telegram. Le comportement d’auto-suppression du malware après exécution complique la réponse aux incidents et les analyses forensiques. CertiK relie la campagne à l’unité Famous Chollima de Lazarus et indique qu’elle a été livrée via des comptes Telegram compromis visant des organisations d’actifs numériques à forte valeur. Le rapport lie également Mach-O Man à une vague de vols plus large menée par Lazarus, avec plus de 500 millions de dollars dérobés aux plateformes DeFi Drift et KelpDAO ces deux dernières semaines. Pour les traders crypto, la leçon pratique est le contrôle des risques : considérez les demandes de réunion inattendues — en particulier celles qui demandent d’exécuter des commandes terminales — comme une tentative d’ingénierie sociale à haut risque de Lazarus Mach-O Man. Vérifiez les invitations via un canal séparé avant de cliquer sur des liens ou d’exécuter des instructions.