Malware macOS Lazarus Mach-O usa finte invitazioni a riunioni Telegram per rubare credenziali di criptovalute
Il gruppo Lazarus della Corea del Nord sta distribuendo il malware per macOS chiamato “Mach-O Man” per colpire dirigenti di criptovalute e fintech tramite ingegneria sociale. L’attacco inizia con inviti urgenti a riunioni inviati su Telegram, che impersonano Zoom, Microsoft Teams o Google Meet, e poi reindirizzano le vittime a un sito falso usando la tecnica ClickFix, che chiede agli utenti di incollare un comando di terminale per “risolvere” un problema di connessione.
Dopo l’esecuzione, il toolkit Mach-O Man installa componenti Mach-O modulari per profilare il dispositivo, stabilire persistenza e rubare credenziali e dati del browser. L’esfiltrazione viene instradata attraverso un canale di comando e controllo basato su Telegram. Il comportamento del malware di auto-eliminarsi dopo l’esecuzione rende più difficile la risposta agli incidenti e le analisi forensi.
CertiK collega la campagna all’unità Famous Chollima di Lazarus e afferma che è stata veicolata tramite account Telegram compromessi rivolti a organizzazioni con elevato valore in asset digitali. Il rapporto collega inoltre Mach-O Man a una più ampia ondata di furti di Lazarus, con oltre 500 milioni di dollari rubati da piattaforme DeFi come Drift e KelpDAO nelle ultime due settimane.
Per i trader di criptovalute, il consiglio pratico è il controllo del rischio: trattate gli inviti a riunioni inattesi — specialmente quelli che istruiscono a eseguire comandi di terminale — come un tentativo di ingegneria sociale ad alto rischio da parte di Lazarus Mach-O Man. Verificate gli inviti tramite un canale separato prima di cliccare sui link o eseguire istruzioni.
Bearish
Questa è una campagna di furto di credenziali per macOS di Lazarus (“Mach-O Man”) collegata a un recente furto di grande entità dalle piattaforme DeFi Drift e KelpDAO. Nel breve termine, le segnalazioni di compromissioni importanti di wallet o credenziali tipicamente aumentano il rischio percepito della controparte, innalzano la probabilità di ulteriori takeover di account e possono innescare liquidazioni o posizionamenti risk-off negli ecosistemi interessati (DRIFT, KELP). Nel lungo termine, una risposta prolungata all’incidente, danni reputazionali e possibili interruzioni nell’accesso a contratti/borse possono ridurre i nuovi flussi in entrata e la fiducia nella governance/tesoreria.
Detto questo, il malware è rivolto a utenti mirati piuttosto che a uno sfruttamento a livello di protocollo che colpisca tutti i detentori, quindi l’effetto sul prezzo è probabilmente più forte sui token direttamente collegati ai sistemi DeFi coinvolti piuttosto che causare una contagione diffusa del mercato.