Шкідливе ПЗ для macOS Lazarus Mach‑O використовує підробні запрошення на зустрічі в Telegram, щоб викрасти облікові дані криптовалют
Північнокорейська група Lazarus розгортає macOS‑шкідник під назвою “Mach-O Man”, щоб таргетувати керівників у крипто- та фінтех‑секторі за допомогою соціальної інженерії. Атака починається з термінових запрошень на зустрічі, надісланих у Telegram і що видають себе за Zoom, Microsoft Teams або Google Meet, а потім перенаправляють жертв на підробний сайт із використанням техніки ClickFix — користувачам пропонують вставити команду в термінал, щоб «виправити» проблему з підключенням.
Після виконання набір інструментів Mach-O Man встановлює модульні Mach-O компоненти для профілювання пристрою, забезпечення стійкого доступу та викрадення облікових даних і даних браузера. Екфільтрація здійснюється через канал командування й контролю на базі Telegram. Поведінка шкідника, що самовидаляється після виконання, ускладнює реагування на інциденти та судово‑технічну експертизу.
CertiK пов’язує кампанію з підрозділом Famous Chollima Lazarus і повідомляє, що доставка відбувалася через скомпрометовані облікові записи Telegram, націлені на організації з високою вартістю цифрових активів. У звіті також пов’язують Mach-O Man з ширшою хвилею крадіжок Lazarus: понад 500 млн дол. вкрадено з DeFi‑платформ, таких як Drift і KelpDAO, за останні два тижні.
Для крипто‑трейдерів практичний висновок — контролюйте ризики: розглядайте несподівані запрошення на зустрічі — особливо ті, в яких вимагають вставити команди в термінал — як високоризикову спробу соціальної інженерії від Lazarus Mach-O Man. Підтверджуйте запрошення через окремий канал перед натисканням посилань або виконанням інструкцій.
Bearish
Це кампанія з викрадення облікових даних на macOS, пов’язана з Lazarus («Mach-O Man»), яка була причетна до нещодавнього великого викрадення на DeFi-платформах Drift і KelpDAO. У короткостроковій перспективі повідомлення про значні компрометації гаманців або облікових даних зазвичай підвищують сприйманий ризик контрагента, збільшують ймовірність подальших захоплень акаунтів і можуть спричинити ліквідації або ризик-он/оф позиціонування навколо постраждалих екосистем (DRIFT, KELP). У довгостроковій перспективі затяжне реагування на інцидент, репутаційні збитки та можливі перебої з доступом до контрактів/бірж можуть стримувати нові притоки та довіру до управління/скарбниці.
Водночас шкідливе ПЗ націлене на конкретних користувачів, а не є вразливістю на рівні протоколу, що зачепила б усіх власників, тому ціновий ефект, ймовірно, буде найсильнішим щодо токенів, безпосередньо пов’язаних із постраждалими DeFi-системами, а не широкомасштабною ринковою контамінацією.