macOS‑malwaret Lazarus Mach‑O använder falska Telegram‑mötesinbjudningar för att stjäla kryptoupgifter

Nordkoreas Lazarus-grupp använder macOS-mjukvaran "Mach-O Man" för att rikta in sig på kryptovaluta- och fintech-chefer via social ingenjörskonst. Attacken börjar med brådskande mötesinbjudningar som skickas via Telegram och som utger sig för att vara Zoom, Microsoft Teams eller Google Meet, och leder sedan offren till en falsk webbplats med ClickFix-tekniken — där användare uppmanas att klistra in ett terminalkommando för att "åtgärda" en anslutningsproblem. Efter körning installerar Mach-O Man-verktyget modulära Mach-O-komponenter för att profilera enheten, skapa kvarvarande åtkomst och stjäla inloggningsuppgifter samt webbläsardata. Exfiltrering sker via en Telegram-baserad kommando-och-kontrollkanal. Mjukvarans automatiska raderingsbeteende efter körning försvårar incidenthantering och forensiska undersökningar. CertiK kopplar kampanjen till Lazarus-enheten Famous Chollima och säger att den levererades via komprometterade Telegram-konton riktade mot högt värderade organisationer inom digitala tillgångar. Rapporten kopplar också Mach-O Man till en större stöldvåg från Lazarus, med mer än 500 miljoner dollar stulna från DeFi-plattformarna Drift och KelpDAO under de senaste två veckorna. För kryptohandlare är den praktiska slutsatsen riskkontroll: behandla oväntade mötesförfrågningar — särskilt sådana som instruerar terminalkommandon — som ett högriskförsök från Lazarus Mach-O Man. Verifiera inbjudningar via en separat kanal innan du klickar på länkar eller kör några instruktioner.