macOS‑вредонос Lazarus Mach‑O использует поддельные приглашения на встречи в Telegram, чтобы красть учетные данные криптовалют
Группа Lazarus из Северной Кореи разворачивает macOS-вредонос «Mach-O Man», таргетируя руководителей в крипто- и финтех‑секторах с помощью социальной инженерии. Атака начинается с срочных приглашений на встречи, отправляемых через Telegram и выдающих себя за Zoom, Microsoft Teams или Google Meet, после чего жертвы перенаправляются на поддельный сайт с использованием техники ClickFix — пользователям предлагают вставить команду в терминал, чтобы «исправить» проблему соединения.
После выполнения набор Mach-O Man устанавливает модульные Mach-O‑компоненты для профилирования устройства, обеспечения устойчивого присутствия и кражи учётных данных и данных браузера. Экфильтрация маршрутизируется через канал командования и управления на базе Telegram. Поведение вредоноса, при котором он удаляется после выполнения, затрудняет реагирование на инциденты и судебную экспертизу.
CertiK связывает кампанию с подразделением Famous Chollima Lazarus и сообщает, что доставка осуществлялась через скомпрометированные аккаунты Telegram, нацеленные на организации с высокоценными цифровыми активами. В отчёте также говорится о связи Mach-O Man с более широкой серией краж Lazarus — более 500 млн долларов похищено с DeFi‑платформ Drift и KelpDAO за последние две недели.
Для криптотрейдеров практический вывод — управление рисками: рассматривайте неожиданные приглашения на встречи, особенно те, где требуют вставить команды в терминал, как высокорисковую попытку социальной инженерии со стороны Lazarus Mach-O Man. Подтверждайте приглашения через отдельный канал перед переходом по ссылкам или выполнением инструкций.
Bearish
Это кампания по краже учетных данных для macOS, связанная с Lazarus («Mach-O Man»), причастная к недавнему крупному хищению на DeFi-платформах Drift и KelpDAO. В краткосрочной перспективе сообщения о серьезных компрометациях кошельков или учетных данных обычно повышают воспринимаемый риск контрагента, увеличивают вероятность дальнейших захватов аккаунтов и могут спровоцировать ликвидации или риск-он позиционирование вокруг затронутых экосистем (DRIFT, KELP). В долгосрочной перспективе затянутая реакция на инцидент, репутационные потери и возможные нарушения доступа к контрактам/биржам могут ослабить притоки капитала и уверенность в управлении/казне.
При этом вредоносное ПО нацелено на конкретных пользователей, а не является уязвимостью на уровне протокола, затрагивающей всех держателей, поэтому ценовой эффект, вероятно, будет сильнее для токенов, напрямую связанных с затронутыми DeFi-системами, а не приведет к широкой рыночной контагии.