Złośliwe oprogramowanie macOS Lazarus Mach-O używa fałszywych zaproszeń na spotkania w Telegramie, aby kraść dane uwierzytelniające do kryptowalut
Północnokoreańska grupa Lazarus wdraża złośliwe oprogramowanie dla macOS o nazwie „Mach-O Man”, aby celować w osoby zarządzające w sektorze kryptowalut i fintech za pomocą inżynierii społecznej. Atak zaczyna się od pilnych zaproszeń na spotkania wysyłanych przez Telegram, podszywających się pod Zoom, Microsoft Teams lub Google Meet, a następnie przekierowujących ofiary na fałszywą stronę z użyciem techniki ClickFix — użytkownicy są proszeni o wklejenie polecenia terminala, aby „naprawić” problem z połączeniem.
Po uruchomieniu zestaw narzędzi Mach-O Man instaluje modułowe komponenty Mach-O w celu profilowania urządzenia, ustanowienia trwałości i kradzieży poświadczeń oraz danych przeglądarki. Eksfiltracja jest kierowana przez kanał dowodzenia i kontroli oparty na Telegramie. Zachowanie malware polegające na samousunięciu po wykonaniu utrudnia reagowanie na incydenty i analizę sądowo‑informatyczną.
CertiK łączy kampanię z jednostką Famous Chollima Lazarus i twierdzi, że była ona dystrybuowana przez przejęte konta Telegram skierowane do organizacji o wysokiej wartości aktywów cyfrowych. Raport wiąże również Mach-O Man z szerszą falą kradzieży Lazarus — w ciągu ostatnich dwóch tygodni skradziono ponad 500 mln USD z platform DeFi, takich jak Drift i KelpDAO.
Dla traderów kryptowalut praktyczny wniosek to kontrola ryzyka: traktuj nieoczekiwane zaproszenia na spotkania — szczególnie te, które nakazują uruchomienie poleceń terminala — jako wysokiego ryzyka próbę inżynierii społecznej ze strony Lazarus Mach-O Man. Potwierdź zaproszenia przez oddzielny kanał przed kliknięciem linków lub uruchomieniem instrukcji.
Bearish
To kampania kradzieży poświadczeń na macOS powiązana z Lazarus („Mach-O Man”), związana z niedawną dużą kradzieżą z platformów DeFi Drift i KelpDAO. W krótkim terminie raporty o poważnym kompromitowaniu portfeli lub poświadczeń zwykle zwiększają postrzegane ryzyko kontrahenta, podnoszą prawdopodobieństwo dalszych przejęć kont i mogą wywołać likwidacje lub pozycjonowanie w trybie risk-off wokół dotkniętych ekosystemów (DRIFT, KELP). W dłuższym terminie przedłużona reakcja na incydent, szkody reputacyjne i potencjalne zakłócenia dostępu do kontraktów/giełd mogą osłabić nowe napływy i zaufanie do zarządzania/skarbca.
Mimo to malware jest skierowane na wybrane osoby, a nie na exploit na poziomie protokołu dotykający wszystkich posiadaczy, więc efekt cenowy prawdopodobnie będzie najsilniejszy w przypadku tokenów bezpośrednio powiązanych z dotkniętymi systemami DeFi, a nie szerokiej kontagii rynkowej.