Grupo Lazarus da Coreia do Norte Implanta Malware Mach-O Man para Roubar Credenciais de Carteira Cripto de Usuários de macOS

Mensagem do Gate News, 22 de abril — O grupo de invasão ligado à Coreia do Norte Lazarus lançou ataques visando carteiras de criptomoedas usando um malware recém-descoberto chamado Mach-O Man, de acordo com um relatório de análise de malware divulgado em 21 de abril pela empresa de segurança ANY.RUN. O código malicioso foi projetado para roubar dados do chaveiro, credenciais do navegador e sessões de login de sistemas macOS para obter acesso não autorizado a carteiras de ativos digitais e contas de exchanges.

Diferentemente de campanhas anteriores do Lazarus, este ataque mira especificamente usuários do Apple macOS. O malware coleta sessões de login e credenciais de autenticação do dispositivo Mac da vítima, que então são usadas para comprometer o acesso à carteira e as credenciais da conta da exchange. Os principais alvos incluem funcionários de empresas de ativos digitais, desenvolvedores e executivos. A ANY.RUN alertou que comprometer uma única conta pode expor tanto direitos de acesso à carteira quanto sistemas internos corporativos, potencialmente levando a um grande roubo de ativos.

O malware é distribuído via ClickFix, uma técnica de engenharia social que usa mensagens de erro falsas e pop-ups para induzir os usuários a copiar e executar comandos maliciosos. Os ataques são conduzidos principalmente pelo Telegram, usando contas pessoais comprometidas, com as vítimas direcionadas a links falsos de reunião que se parecem com Zoom, Microsoft Teams ou Google Meet. Em seguida, os usuários são solicitados a executar comandos sob o pretexto de resolver problemas de conexão. Esse método de execução iniciado pelo usuário pode facilmente contornar sistemas de segurança tradicionais.

A divulgação ocorre após o hack do Kelp DAO em 20 de abril, que resultou no roubo de 116.500 rsETH (restaked Ethereum). A LayerZero identificou o TraderTraitor, uma organização afiliada ao Lazarus, como responsável pelo ataque. rsETH é distribuído em múltiplas blockchains, com transferências entre cadeias tratadas pelo padrão (OFT) de token fungível onmichain da LayerZero.