Malware macOS Lazarus Mach-O usa convites falsos de reunião do Telegram para roubar credenciais de criptomoedas
O grupo Lazarus da Coreia do Norte está implantando o malware para macOS chamado “Mach-O Man” para atacar executivos de criptomoedas e fintech por meio de engenharia social. O ataque começa com convites urgentes para reuniões enviados pelo Telegram, que se fazem passar por Zoom, Microsoft Teams ou Google Meet, e então redirecionam as vítimas para um site falso usando a técnica ClickFix — solicitando aos usuários que colem um comando de terminal para “corrigir” um problema de conexão.
Após a execução, o kit Mach-O Man instala componentes Mach-O modulares para perfilar o dispositivo, estabelecer persistência e roubar credenciais e dados do navegador. A exfiltração é roteada por meio de um canal de comando e controle baseado em Telegram. O comportamento do malware de se autoapagar após a execução dificulta a resposta a incidentes e a análise forense.
A CertiK liga a campanha à unidade Famous Chollima do Lazarus e diz que ela foi entregue por meio de contas do Telegram comprometidas, direcionadas a organizações de alto valor em ativos digitais. O relatório também relaciona o Mach-O Man a uma onda maior de roubos do Lazarus, com mais de US$ 500 milhões roubados de plataformas DeFi como Drift e KelpDAO nas últimas duas semanas.
Para traders de cripto, a recomendação prática é controle de risco: trate convites inesperados para reuniões — especialmente os que instruem a executar comandos de terminal — como uma tentativa de engenharia social de alto risco pelo Lazarus Mach-O Man. Verifique os convites por um canal separado antes de clicar em links ou executar qualquer instrução.
Bearish
Esta é uma campanha de roubo de credenciais em macOS do grupo Lazarus (“Mach-O Man”) ligada a um grande roubo recente nas plataformas DeFi Drift e KelpDAO. No curto prazo, relatos de comprometimento significativo de carteiras ou credenciais tipicamente aumentam o risco percebido de contraparte, elevam a probabilidade de novas tomadas de conta e podem desencadear liquidações ou posicionamentos de aversão ao risco nos ecossistemas afetados (DRIFT, KELP). No longo prazo, uma resposta prolongada ao incidente, danos reputacionais e possíveis interrupções no acesso a contratos/exchanges podem reduzir novos influxos e a confiança na governança/tesouraria.
Dito isso, o malware é direcionado a usuários específicos em vez de ser uma exploração a nível de protocolo que afete todos os detentores, portanto o efeito sobre o preço provavelmente será mais forte nos tokens diretamente ligados aos sistemas DeFi impactados, em vez de provocar uma contaminação ampla do mercado.