Phần mềm độc hại macOS Lazarus Mach-O dùng lời mời họp Telegram giả để đánh cắp thông tin đăng nhập tiền điện tử
Nhóm Lazarus của Triều Tiên đang triển khai phần mềm độc hại cho macOS có tên “Mach-O Man” nhằm vào các lãnh đạo trong lĩnh vực tiền điện tử và fintech thông qua tấn công xã hội. Cuộc tấn công bắt đầu bằng các lời mời họp khẩn cấp gửi qua Telegram, mạo danh Zoom, Microsoft Teams hoặc Google Meet, sau đó chuyển hướng nạn nhân tới một trang giả sử dụng kỹ thuật ClickFix — yêu cầu người dùng dán một lệnh terminal để “khắc phục” sự cố kết nối.
Sau khi thực thi, bộ công cụ Mach-O Man cài đặt các thành phần Mach-O mô-đun để thu thập thông tin thiết bị, thiết lập tính bền vững và đánh cắp thông tin đăng nhập cùng dữ liệu trình duyệt. Việc trích xuất dữ liệu được chuyển qua kênh điều khiển và chỉ huy dựa trên Telegram. Hành vi tự xóa sau khi thực thi của phần mềm độc hại khiến phản ứng sự cố và pháp y khó khăn hơn.
CertiK liên kết chiến dịch với đơn vị Famous Chollima của Lazarus và cho biết nó được phân phối thông qua các tài khoản Telegram bị xâm nhập, nhắm tới các tổ chức có tài sản số giá trị cao. Báo cáo cũng liên hệ Mach-O Man với một làn sóng trộm cắp rộng hơn của Lazarus, với hơn 500 triệu USD bị đánh cắp từ các nền tảng DeFi như Drift và KelpDAO trong hai tuần qua.
Đối với nhà giao dịch tiền điện tử, kết luận thực tiễn là quản lý rủi ro: hãy coi các lời mời họp bất ngờ — đặc biệt là những yêu cầu thực hiện lệnh terminal — là một cuộc tấn công xã hội có rủi ro cao của Lazarus Mach-O Man. Xác minh lời mời qua kênh riêng trước khi nhấp liên kết hoặc thực hiện bất kỳ hướng dẫn nào.
Bearish
Đây là một chiến dịch đánh cắp thông tin đăng nhập trên macOS của Lazarus (“Mach-O Man”) liên quan tới vụ trộm quy mô lớn gần đây từ các nền tảng DeFi Drift và KelpDAO. Trong ngắn hạn, các báo cáo về việc ví hoặc thông tin đăng nhập bị xâm phạm lớn thường làm tăng rủi ro đối tác cảm nhận được, nâng cao xác suất chiếm đoạt tài khoản tiếp theo và có thể kích hoạt thanh lý hoặc vị thế né rủi ro xung quanh các hệ sinh thái bị ảnh hưởng (DRIFT, KELP). Về dài hạn, phản ứng sự cố kéo dài, thiệt hại danh tiếng và khả năng gián đoạn truy cập hợp đồng/sàn giao dịch có thể làm giảm các dòng vốn mới và niềm tin vào quản trị/kho bạc.
Tuy nhiên, phần mềm độc hại này nhắm vào người dùng cụ thể chứ không phải khai thác ở cấp độ giao thức ảnh hưởng tới mọi người nắm giữ, nên tác động lên giá có khả năng mạnh hơn đối với các token liên quan trực tiếp tới các hệ thống DeFi bị ảnh hưởng thay vì gây lây lan rộng ra toàn thị trường.