SlowMist 23pds Aviso: El Grupo Lazarus publica un nuevo kit de herramientas de macOS dirigido a las criptomonedas

macOS工具包

El 22 de abril, el CISO de empresa SlowMist 23pds publicó un aviso, señalando que el grupo de hackers norcoreano Lazarus Group ha lanzado un nuevo kit de herramientas de malware nativo para macOS, “Mach-O Man”, diseñado específicamente para la industria de las criptomonedas y ejecutivos de alto valor.

Técnicas de ataque y objetivos

Según el informe de análisis de Mauro Eldritch, este ataque utiliza la técnica ClickFix: los atacantes envían, mediante Telegram (usando cuentas de contactos comprometidas), enlaces disfrazados como invitaciones legítimas a reuniones, para dirigir a las víctimas a sitios web falsos que imitan Zoom, Microsoft Teams o Google Meet, y piden a los usuarios que ejecuten comandos en el terminal de macOS para “reparar” problemas de conexión. Esta operación permite a los atacantes obtener acceso al sistema sin activar las medidas de seguridad tradicionales.

Los objetivos del ataque incluyen: credenciales y cookies almacenadas en el navegador, datos del llavero (Keychain) de macOS, y datos de extensiones de navegadores como Brave, Vivaldi, Opera, Chrome, Firefox y Safari. Los datos robados se filtran a través de la Telegram Bot API; el informe indica que los atacantes expusieron tokens de bots de Telegram (fallo de OPSEC), debilitando su seguridad operativa.

Los objetivos del ataque son principalmente desarrolladores, ejecutivos y responsables de la toma de decisiones en entornos de alto valor del sector de tecnología financiera y criptomonedas, así como en entornos empresariales donde macOS se usa ampliamente.

Componentes principales del kit Mach-O Man

Según el análisis técnico de Mauro Eldritch, el kit se compone de los siguientes módulos principales:

teamsSDK.bin: implantador inicial, disfrazado como Teams, Zoom, Google o aplicaciones del sistema; ejecuta el reconocimiento básico de la huella del sistema

D1{cadena de texto aleatoria}.bin: analizador del sistema, recopila el nombre del host, el tipo de CPU, la información del sistema operativo y la lista de extensiones del navegador, y la envía al servidor C2

minst2.bin: módulo de persistencia, crea el directorio y LaunchAgent del disfraz “Antivirus Service” para asegurar que se ejecute continuamente después de cada inicio de sesión

macrasv2: cargador final/robo, recopila credenciales del navegador, cookies y entradas del Keychain de macOS, las empaqueta, las filtra mediante Telegram y se autoelimina

Resumen de indicadores clave de intrusión (IOC)

Según los IOC publicados en el informe de Mauro Eldritch:

IP maliciosa: 172[.]86[.]113[.]102 / 144[.]172[.]114[.]220

Dominio malicioso: update-teams[.]live / livemicrosft[.]com

Archivos clave (parcial): teamsSDK.bin, macrasv2, minst2.bin, localencode, D1YrHRTg.bin, D1yCPUyk.bin

Puertos de comunicación C2: 8888 y 9999; principalmente se usan cadenas de características de User-Agent de un cliente HTTP Go

El hash completo y la matriz ATT&CK se encuentran en el informe de investigación original de Mauro Eldritch.

Preguntas frecuentes

¿Qué industrias y objetivos ataca el kit “Mach-O Man”?

Según el aviso de SlowMist 23pds y la investigación de BCA LTD, “Mach-O Man” se enfoca principalmente en la industria de tecnología financiera y las criptomonedas, así como en entornos empresariales de alto valor donde macOS se usa ampliamente; en particular, el grupo de desarrolladores, ejecutivos y responsables de la toma de decisiones.

¿Cómo induce el atacante a los usuarios de macOS a ejecutar comandos maliciosos?

Según el análisis de Mauro Eldritch, los atacantes envían por Telegram enlaces disfrazados como invitaciones legítimas a reuniones, dirigiendo a los usuarios a sitios web falsos que imitan Zoom, Teams o Google Meet; luego les indican que ejecuten comandos en el terminal de macOS para “reparar” problemas de conexión, lo que activa la instalación de malware.

¿Cómo logra “Mach-O Man” la exfiltración de datos?

Según el análisis técnico de Mauro Eldritch, el módulo final macrasv2 recopila credenciales del navegador, cookies y datos del Keychain de macOS, los empaqueta y los filtra a través de la Telegram Bot API; al mismo tiempo, el atacante utiliza scripts de autoeliminación para borrar rastros del sistema.

Aviso legal: La información de esta página puede proceder de terceros y no representa los puntos de vista ni las opiniones de Gate. El contenido que aparece en esta página es solo para fines informativos y no constituye ningún tipo de asesoramiento financiero, de inversión o legal. Gate no garantiza la exactitud ni la integridad de la información y no se hace responsable de ninguna pérdida derivada del uso de esta información. Las inversiones en activos virtuales conllevan riesgos elevados y están sujetas a una volatilidad significativa de los precios. Podrías perder todo el capital invertido. Asegúrate de entender completamente los riesgos asociados y toma decisiones prudentes de acuerdo con tu situación financiera y tu tolerancia al riesgo. Para obtener más información, consulta el Aviso legal.

Artículos relacionados

Hombre de California Sentenciado a 70 Meses por Lavado de Dinero en un Esquema de Robo de $263M Cripto

Mensaje de Gate News, 25 de abril — Un hombre de 22 años de Newport Beach, California, Evan Tangeman, ha sido condenado a 70 meses de prisión federal y 3 años de libertad supervisada por su papel en una red delictiva de ingeniería social que operaba en varios estados y que robó más de $263 millones en criptomonedas, según

GateNewshace1h

41 secuestros de cripto en Francia en 3,5 meses; Durov culpa a las filtraciones de datos

Mensaje de Gate News, 24 de abril — Francia ha registrado 41 secuestros de titulares de criptomonedas en apenas 3,5 meses de 2026, según Pavel Durov, fundador de Telegram, quien atribuyó el aumento a filtraciones generalizadas de datos. Durov destacó en una publicación de X que los datos personales sensibles —incluida información en poder de las autoridades fiscales y procedente de una gran filtración en la Agencia Francesa para Documentos Seguros— ha expuesto aproximadamente los nombres, direcciones y números de teléfono de 19 millones de personas, lo que hace que los titulares de activos digitales sean objetivos más fáciles. Las autoridades francesas confirmaron que se han registrado más de 40 secuestros de criptomonedas o intentos de abducción desde enero de 2026, lo que supone un fuerte aumento frente a aproximadamente 30 casos en 2025. Según Philippe Chadrys, de la policía judicial de Francia, el modus operandi y los métodos de selección varían, y muchas operaciones están dirigidas por redes que operan desde el extranjero. Los incidentes van desde abducciones de corta duración hasta casos violentos en los que hay tortura y exigencias de rescate. En un caso reciente, una mujer y su hijo de 11 años fueron secuestrados en Borgoña y posteriormente liberados tras una operación policial de gran escala. En otro caso en Anglet, los sospechosos secuestraron por error a las personas equivocadas antes de ser arrestados. En 2025, el destacado directivo de la industria cripto David Balland fue secuestrado y le cortaron un dedo antes de que lo rescataran. Los fiscales franceses ya han imputado a 88 personas en relación con secuestros vinculados a las criptomonedas, incluidos menores en al menos una docena de casos. Durov advirtió que ampliar el acceso del gobierno a identidades digitales y comunicaciones cifradas podría empeorar la situación si los sistemas se ven comprometidos, aunque su afirmación de que los funcionarios fiscales venden directamente los datos no ha sido verificada. La crisis de exposición de datos se extiende más allá de los secuestros. Los grupos franceses de protección de datos informan de millones de registros comprometidos en múltiples filtraciones que afectan a servicios públicos y empresas privadas. Según Seb, presidente de la Federación Francesa para la Protección de Datos, Francia está a punto de convertirse en el segundo país más hackeado del mundo en 2026, con más de 300 servicios franceses afectados, 23 millones de cuentas comprometidas y más de 250 millones de registros de datos expuestos. France Titres ANTS por sí solo registró más de 11,7 millones de cuentas expuestas, mientras que la Agencia Estatal de Pagos y Servicios filtró datos bancarios y números de la seguridad social de millones de ciudadanos franceses. Los secuestros vinculados a criptomonedas suelen seguir un patrón: las víctimas son identificadas como poseedoras de activos digitales, son secuestradas y presionadas para transferir fondos bajo coacción. A diferencia de las cuentas bancarias tradicionales, las carteras cripto pueden accederse instantáneamente si se revelan claves privadas o contraseñas, lo que las convierte en objetivos atractivos para la extorsión. Mientras tanto, Bitcoin subió casi 10% en los últimos 30 días, cotizando a $77,601 al momento de publicarse la nota, mientras que Ethereum cayó 5% durante la semana, cotizando a $2,315.

GateNewshace4h

El investigador italiano gana una recompensa de 1 BTC por un ataque cuántico de 32.767 bits a claves de curvas elípticas

Mensaje de Gate News, 24 de abril — Giancarlo Lelli, un investigador italiano, ha sido galardonado con un Bitcoin después de demostrar el mayor ataque a escala cuántica contra la criptografía de curvas elípticas hasta la fecha. El avance intensifica las preocupaciones sobre amenazas cuánticas a Bitcoin, Ethereum y otros activos protegidos por

GateNewshace6h

Luck.io, el Casino sin Custodia de Solana, Cierra; Se Insta a los Usuarios a Retirar Fondos de Inmediato

Mensaje de Gate News, 24 de abril — Luck.io, una plataforma de casino sin custodia construida sobre Solana, anunció su cierre el 24 de abril de 2026, instando a todos los usuarios a retirar inmediatamente sus saldos de Smart Vaults. Los retiros pueden iniciarse a través del sitio web luck.io o mediante la Vault Withdrawal Tool en

GateNewshace9h

Sanciones de EE. UU. a billeteras cripto vinculadas a Irán; Tether congela $344 millones de USDT

Mensaje de Gate News, 24 de abril — El secretario del Tesoro de EE. UU., Scott Bessent, anunció el jueves sanciones contra múltiples billeteras vinculadas a Irán, como parte de los esfuerzos del presidente Donald Trump para aumentar la presión económica sobre el país en medio de un alto el fuego en curso. "Seguiremos el dinero que Teherán está intentando desesperadamente mover fuera del país y atacaremos todas las líneas de ayuda financiera vinculadas al régimen", dijo Bessent en un comunicado.

GateNewshace11h

El Proyecto Once otorga una recompensa de 1 BTC por el Q-Day 1: los investigadores usan computadoras cuánticas para descifrar claves de curva elíptica de 15 bits

Centrada en la investigación de “Q-Day (día de la criptografía blockchain contra la que se romperían los códigos mediante computadoras cuánticas)”, la organización sin fines de lucro Project Eleven anunció el 4/24 el otorgamiento de una recompensa de 1 bitcoin a un investigador independiente, Giancarlo Lelli. En hardware de computación cuántica en la nube de acceso público y disponible, Lelli, usando una variante del algoritmo de Shor, logró descifrar una clave de curva elíptica de 15 bits; este es el mayor ejemplo de ataque cuántico público hasta la fecha. Escala e importancia del ataque Proyecto Contenido Ganador Giancarlo Lelli (investigador independiente) Objetivo del ataque Clave de curva elíptica de 15 bits, buscando 32,767 posibilidades Con hardware Computadora cuántica en la nube de acceso público Algoritmo Shor

ChainNewsAbmediahace12h
Comentar
0/400
Sin comentarios