Північнокорейська група Lazarus розгортає шкідливий застосунок Mach-O Man для викрадення облікових даних криптогаманців у користувачів macOS

Повідомлення Gate News, 22 квітня — Північнокорейська хакерська група, пов’язана з Lazarus, розпочала атаки проти криптовалютних гаманців із використанням нещодавно виявленого шкідливого застосунку під назвою Mach-O Man, згідно з аналітичною доповіддю про шкідливе ПЗ, оприлюдненою 21 квітня компанією ANY.RUN з питань безпеки. Зловмисний код призначений для викрадення даних зв’язки ключів, облікових даних браузера та сеансів входу з систем macOS, щоб отримати несанкціонований доступ до гаманців цифрових активів і облікових записів бірж.

На відміну від попередніх кампаній Lazarus, ця атака спеціально націлюється на користувачів Apple macOS. Шкідливий застосунок збирає сеанси входу та облікові дані автентифікації з Mac-пристрою жертви, які потім використовуються для компрометації доступу до гаманця та облікових даних облікового запису біржі. Основними цілями є співробітники компаній цифрових активів, розробники та керівники. ANY.RUN попереджала, що компрометація одного облікового запису може розкрити як права на доступ до гаманця, так і внутрішні корпоративні системи, потенційно призводячи до масштабного викрадення активів.

Шкідливий застосунок поширюється через ClickFix — метод соціальної інженерії, який використовує фальшиві повідомлення про помилки та спливаючі вікна, щоб змусити користувачів скопіювати й виконати шкідливі команди. Атаки здебільшого проводяться через Telegram із використанням скомпрометованих персональних облікових записів, а жертвам надсилають підробні посилання на зустрічі, що нагадують Zoom, Microsoft Teams або Google Meet. Потім користувачів підштовхують виконати команди під виглядом усунення проблем із підключенням. Цей метод виконання, ініційований самим користувачем, легко обходить традиційні системи безпеки.

Повідомлення з’явилося після хаку Kelp DAO 20 квітня, який призвів до викрадення 116,500 rsETH (restaked Ethereum). LayerZero визначила TraderTraitor, організацію, афілійовану з Lazarus, як відповідальну за атаку. rsETH розподіляється між кількома блокчейнами, а міжланцюгові перекази обробляє стандарт LayerZero для омнічейн-безстрокових токенів (OFT).