مجموعة لازاروس الكورية الشمالية تستهدف العملات المشفرة والمدراء التنفيذيين ذوي القيمة العالية بـ "Mach-O Man"، مجموعة برمجيات خبيثة لنظام macOS

تقوم الوحدة الثابتة minst2.bin بإنشاء ملف تهيئة LaunchAgent plist (com.onedrive.launcher.plist)، مما يضمن تشغيل البرمجية الخبيثة في كل مرة يسجل فيها المستخدم الدخول، من خلال التظاهر بأنها عملية شرعية تُسمى "OneDrive" أو "خدمة مكافحة الفيروسات".

Macrasv2، وهي الحمولة الأخيرة المسؤولة عن سرقة البيانات من النظام، تجمع المعلومات من تفاصيل تسجيل الدخول إلى المتصفحات وملفات تعريف الارتباط (Cookies) الموجودة في قواعد بيانات SQLite وكذلك إدخالات Keychain الحساسة. ثم يتم ضغط جميع البيانات المجمعة وإرسالها عبر واجهة برمجة تطبيقات Telegram Bot، التي كان رمزها (token) مكشوفاً على السطح.

الإرث المدمر لمجموعة لازاروس في مجال العملات المشفرة والتكنولوجيا الأمريكية

إطلاق "Mach-O Man" يتماشى مع الجهود طويلة الأمد لمجموعة لازاروس لتنفيذ هجمات سيبرانية من أجل الربح المالي. وقد أسفرت هذه الهجمات عن خسائر فادحة في عالم العملات المشفرة، خاصة تلك القائمة في الولايات المتحدة.

تم تحديد هذه المجموعة على أنها مشاركة في بعض أكبر السرقات في تاريخ العملات المشفرة، مثل سرقة Ronin Network (Axie Infinity) بقيمة 625 مليون دولار، وسرقة Bybit بقيمة 1.5 مليار دولار، وسرقة DMM Bitcoin بقيمة 308 مليون دولار، وسرقة KelpDAO بقيمة 292 مليون دولار، وسرقة Drift بقيمة 285 مليون دولار، و235 مليون دولار من WazirX.

تستخدم البرمجية الخبيثة "Mach-O Man" مراحل متعددة، كل منها يحتوي على ثنائيات Mach-O مُجمَّعة بلغة Go. تحتوي البرمجية الخبيثة على وحدة تحليل (profiler) تجمع معلومات النظام، بما في ذلك اسم المضيف، ومعرف UUID، ومعلومات وحدة المعالجة المركزية، وتكوين الشبكة، والعمليات الجارية.

لديها إضافات (extensions) لمتصفحات Chrome وFirefox وSafari وBrave وOpera وVivaldi. يتم نقل المعلومات إلى خادم القيادة والتحكم عبر طلبات POST بسيطة باستخدام curl على المنفذين 8888 و9999.

تقوم الوحدة الثابتة minst2.bin بإنشاء ملف تهيئة LaunchAgent plist (com.onedrive.launcher.plist)، مما يضمن تشغيل البرمجية الخبيثة في كل مرة يسجل فيها المستخدم الدخول، من خلال التظاهر بأنها عملية شرعية تُسمى "OneDrive" أو "خدمة مكافحة الفيروسات".

Macrasv2، وهي الحمولة الأخيرة المسؤولة عن سرقة البيانات من النظام، تجمع المعلومات من تفاصيل تسجيل الدخول إلى المتصفحات وملفات تعريف الارتباط (Cookies) الموجودة في قواعد بيانات SQLite وكذلك إدخالات Keychain الحساسة. ثم يتم ضغط جميع البيانات المجمعة وإرسالها عبر واجهة برمجة تطبيقات Telegram Bot، التي كان رمزها (token) مكشوفاً على السطح.

الإرث المدمر لمجموعة لازاروس في مجال العملات المشفرة والتكنولوجيا الأمريكية

إطلاق "Mach-O Man" يتماشى مع الجهود طويلة الأمد لمجموعة لازاروس لتنفيذ هجمات سيبرانية من أجل الربح المالي. وقد أسفرت هذه الهجمات عن خسائر فادحة في عالم العملات المشفرة، خاصة تلك القائمة في الولايات المتحدة.

تم تحديد هذه المجموعة على أنها مشاركة في بعض أكبر السرقات في تاريخ العملات المشفرة، مثل سرقة Ronin Network (Axie Infinity) بقيمة 625 مليون دولار، وسرقة Bybit بقيمة 1.5 مليار دولار، وسرقة DMM Bitcoin بقيمة 308 مليون دولار، وسرقة KelpDAO بقيمة 292 مليون دولار، وسرقة Drift بقيمة 285 مليون دولار، و235 مليون دولار من WazirX.

تستخدم البرمجية الخبيثة "Mach-O Man" مراحل متعددة، كل منها يحتوي على ثنائيات Mach-O مُجمَّعة بلغة Go. تحتوي البرمجية الخبيثة على وحدة تحليل (profiler) تجمع معلومات النظام، بما في ذلك اسم المضيف، ومعرف UUID، ومعلومات وحدة المعالجة المركزية، وتكوين الشبكة، والعمليات الجارية.

لديها إضافات (extensions) لمتصفحات Chrome وFirefox وSafari وBrave وOpera وVivaldi. يتم نقل المعلومات إلى خادم القيادة والتحكم عبر طلبات POST بسيطة باستخدام curl على المنفذين 8888 و9999.

تقوم الوحدة الثابتة minst2.bin بإنشاء ملف تهيئة LaunchAgent plist (com.onedrive.launcher.plist)، مما يضمن تشغيل البرمجية الخبيثة في كل مرة يسجل فيها المستخدم الدخول، من خلال التظاهر بأنها عملية شرعية تُسمى "OneDrive" أو "خدمة مكافحة الفيروسات".

Macrasv2، وهي الحمولة الأخيرة المسؤولة عن سرقة البيانات من النظام، تجمع المعلومات من تفاصيل تسجيل الدخول إلى المتصفحات وملفات تعريف الارتباط (Cookies) الموجودة في قواعد بيانات SQLite وكذلك إدخالات Keychain الحساسة. ثم يتم ضغط جميع البيانات المجمعة وإرسالها عبر واجهة برمجة تطبيقات Telegram Bot، التي كان رمزها (token) مكشوفاً على السطح.

الإرث المدمر لمجموعة لازاروس في مجال العملات المشفرة والتكنولوجيا الأمريكية

إطلاق "Mach-O Man" يتماشى مع الجهود طويلة الأمد لمجموعة لازاروس لتنفيذ هجمات سيبرانية من أجل الربح المالي. وقد أسفرت هذه الهجمات عن خسائر فادحة في عالم العملات المشفرة، خاصة تلك القائمة في الولايات المتحدة.

تم تحديد هذه المجموعة على أنها مشاركة في بعض أكبر السرقات في تاريخ العملات المشفرة، مثل سرقة Ronin Network (Axie Infinity) بقيمة 625 مليون دولار، وسرقة Bybit بقيمة 1.5 مليار دولار، وسرقة DMM Bitcoin بقيمة 308 مليون دولار، وسرقة KelpDAO بقيمة 292 مليون دولار، وسرقة Drift بقيمة 285 مليون دولار، و235 مليون دولار من WazirX.

بعد إكمال عملية التثبيت الوهمية، يبدأ المسروق (stealer) في بصمة النظام، وتكوين الثبات، وتثبيت الحمولة.

على عكس التقنيات الأخرى التي تتضمن استغلال ثغرات معقدة، لا تفعل هذه التقنية ذلك. مما يجعلها فعالة جداً ضد الأهداف القيمة التي قد تكون تدير مكالمات متعددة في وقت واحد أثناء نسخ الأوامر دون التحقق منها.

داخل البرمجية الخبيثة Mach-O Man

تستخدم البرمجية الخبيثة "Mach-O Man" مراحل متعددة، كل منها يحتوي على ثنائيات Mach-O مُجمَّعة بلغة Go. تحتوي البرمجية الخبيثة على وحدة تحليل (profiler) تجمع معلومات النظام، بما في ذلك اسم المضيف، ومعرف UUID، ومعلومات وحدة المعالجة المركزية، وتكوين الشبكة، والعمليات الجارية.

لديها إضافات (extensions) لمتصفحات Chrome وFirefox وSafari وBrave وOpera وVivaldi. يتم نقل المعلومات إلى خادم القيادة والتحكم عبر طلبات POST بسيطة باستخدام curl على المنفذين 8888 و9999.

تقوم الوحدة الثابتة minst2.bin بإنشاء ملف تهيئة LaunchAgent plist (com.onedrive.launcher.plist)، مما يضمن تشغيل البرمجية الخبيثة في كل مرة يسجل فيها المستخدم الدخول، من خلال التظاهر بأنها عملية شرعية تُسمى "OneDrive" أو "خدمة مكافحة الفيروسات".

Macrasv2، وهي الحمولة الأخيرة المسؤولة عن سرقة البيانات من النظام، تجمع المعلومات من تفاصيل تسجيل الدخول إلى المتصفحات وملفات تعريف الارتباط (Cookies) الموجودة في قواعد بيانات SQLite وكذلك إدخالات Keychain الحساسة. ثم يتم ضغط جميع البيانات المجمعة وإرسالها عبر واجهة برمجة تطبيقات Telegram Bot، التي كان رمزها (token) مكشوفاً على السطح.

الإرث المدمر لمجموعة لازاروس في مجال العملات المشفرة والتكنولوجيا الأمريكية

إطلاق "Mach-O Man" يتماشى مع الجهود طويلة الأمد لمجموعة لازاروس لتنفيذ هجمات سيبرانية من أجل الربح المالي. وقد أسفرت هذه الهجمات عن خسائر فادحة في عالم العملات المشفرة، خاصة تلك القائمة في الولايات المتحدة.

تم تحديد هذه المجموعة على أنها مشاركة في بعض أكبر السرقات في تاريخ العملات المشفرة، مثل سرقة Ronin Network (Axie Infinity) بقيمة 625 مليون دولار، وسرقة Bybit بقيمة 1.5 مليار دولار، وسرقة DMM Bitcoin بقيمة 308 مليون دولار، وسرقة KelpDAO بقيمة 292 مليون دولار، وسرقة Drift بقيمة 285 مليون دولار، و235 مليون دولار من WazirX.

بعد إكمال عملية التثبيت الوهمية، يبدأ المسروق (stealer) في بصمة النظام، وتكوين الثبات، وتثبيت الحمولة.

على عكس التقنيات الأخرى التي تتضمن استغلال ثغرات معقدة، لا تفعل هذه التقنية ذلك. مما يجعلها فعالة جداً ضد الأهداف القيمة التي قد تكون تدير مكالمات متعددة في وقت واحد أثناء نسخ الأوامر دون التحقق منها.

داخل البرمجية الخبيثة Mach-O Man

تستخدم البرمجية الخبيثة "Mach-O Man" مراحل متعددة، كل منها يحتوي على ثنائيات Mach-O مُجمَّعة بلغة Go. تحتوي البرمجية الخبيثة على وحدة تحليل (profiler) تجمع معلومات النظام، بما في ذلك اسم المضيف، ومعرف UUID، ومعلومات وحدة المعالجة المركزية، وتكوين الشبكة، والعمليات الجارية.

لديها إضافات (extensions) لمتصفحات Chrome وFirefox وSafari وBrave وOpera وVivaldi. يتم نقل المعلومات إلى خادم القيادة والتحكم عبر طلبات POST بسيطة باستخدام curl على المنفذين 8888 و9999.

تقوم الوحدة الثابتة minst2.bin بإنشاء ملف تهيئة LaunchAgent plist (com.onedrive.launcher.plist)، مما يضمن تشغيل البرمجية الخبيثة في كل مرة يسجل فيها المستخدم الدخول، من خلال التظاهر بأنها عملية شرعية تُسمى "OneDrive" أو "خدمة مكافحة الفيروسات".

Macrasv2، وهي الحمولة الأخيرة المسؤولة عن سرقة البيانات من النظام، تجمع المعلومات من تفاصيل تسجيل الدخول إلى المتصفحات وملفات تعريف الارتباط (Cookies) الموجودة في قواعد بيانات SQLite وكذلك إدخالات Keychain الحساسة. ثم يتم ضغط جميع البيانات المجمعة وإرسالها عبر واجهة برمجة تطبيقات Telegram Bot، التي كان رمزها (token) مكشوفاً على السطح.

الإرث المدمر لمجموعة لازاروس في مجال العملات المشفرة والتكنولوجيا الأمريكية

إطلاق "Mach-O Man" يتماشى مع الجهود طويلة الأمد لمجموعة لازاروس لتنفيذ هجمات سيبرانية من أجل الربح المالي. وقد أسفرت هذه الهجمات عن خسائر فادحة في عالم العملات المشفرة، خاصة تلك القائمة في الولايات المتحدة.

تم تحديد هذه المجموعة على أنها مشاركة في بعض أكبر السرقات في تاريخ العملات المشفرة، مثل سرقة Ronin Network (Axie Infinity) بقيمة 625 مليون دولار، وسرقة Bybit بقيمة 1.5 مليار دولار، وسرقة DMM Bitcoin بقيمة 308 مليون دولار، وسرقة KelpDAO بقيمة 292 مليون دولار، وسرقة Drift بقيمة 285 مليون دولار، و235 مليون دولار من WazirX.

بعد إكمال عملية التثبيت الوهمية، يبدأ المسروق (stealer) في بصمة النظام، وتكوين الثبات، وتثبيت الحمولة.

على عكس التقنيات الأخرى التي تتضمن استغلال ثغرات معقدة، لا تفعل هذه التقنية ذلك. مما يجعلها فعالة جداً ضد الأهداف القيمة التي قد تكون تدير مكالمات متعددة في وقت واحد أثناء نسخ الأوامر دون التحقق منها.

داخل البرمجية الخبيثة Mach-O Man

تستخدم البرمجية الخبيثة "Mach-O Man" مراحل متعددة، كل منها يحتوي على ثنائيات Mach-O مُجمَّعة بلغة Go. تحتوي البرمجية الخبيثة على وحدة تحليل (profiler) تجمع معلومات النظام، بما في ذلك اسم المضيف، ومعرف UUID، ومعلومات وحدة المعالجة المركزية، وتكوين الشبكة، والعمليات الجارية.

لديها إضافات (extensions) لمتصفحات Chrome وFirefox وSafari وBrave وOpera وVivaldi. يتم نقل المعلومات إلى خادم القيادة والتحكم عبر طلبات POST بسيطة باستخدام curl على المنفذين 8888 و9999.

تقوم الوحدة الثابتة minst2.bin بإنشاء ملف تهيئة LaunchAgent plist (com.onedrive.launcher.plist)، مما يضمن تشغيل البرمجية الخبيثة في كل مرة يسجل فيها المستخدم الدخول، من خلال التظاهر بأنها عملية شرعية تُسمى "OneDrive" أو "خدمة مكافحة الفيروسات".

Macrasv2، وهي الحمولة الأخيرة المسؤولة عن سرقة البيانات من النظام، تجمع المعلومات من تفاصيل تسجيل الدخول إلى المتصفحات وملفات تعريف الارتباط (Cookies) الموجودة في قواعد بيانات SQLite وكذلك إدخالات Keychain الحساسة. ثم يتم ضغط جميع البيانات المجمعة وإرسالها عبر واجهة برمجة تطبيقات Telegram Bot، التي كان رمزها (token) مكشوفاً على السطح.

الإرث المدمر لمجموعة لازاروس في مجال العملات المشفرة والتكنولوجيا الأمريكية

إطلاق "Mach-O Man" يتماشى مع الجهود طويلة الأمد لمجموعة لازاروس لتنفيذ هجمات سيبرانية من أجل الربح المالي. وقد أسفرت هذه الهجمات عن خسائر فادحة في عالم العملات المشفرة، خاصة تلك القائمة في الولايات المتحدة.

تم تحديد هذه المجموعة على أنها مشاركة في بعض أكبر السرقات في تاريخ العملات المشفرة، مثل سرقة Ronin Network (Axie Infinity) بقيمة 625 مليون دولار، وسرقة Bybit بقيمة 1.5 مليار دولار، وسرقة DMM Bitcoin بقيمة 308 مليون دولار، وسرقة KelpDAO بقيمة 292 مليون دولار، وسرقة Drift بقيمة 285 مليون دولار، و235 مليون دولار من WazirX.

يؤدي النقر على الرابط إلى صفحة ويب تبدو أصيلة، تحاكي رسالة خطأ عند محاولة الاتصال بـ Zoom أو Teams أو Meet. تطلب الموقع بعد ذلك من الضحية نسخ ولصق سطر شفرة يبدو غير ضار في طرفية (Terminal) جهاز Mac "لحل" المشكلة.

من خلال ذلك، يمكن للضحية تجاوز آليات أمان macOS، مثل Gatekeeper، لأن الهجوم ينشأ من الضحية نفسها.

عند التنفيذ، تقوم الشفرة بتثبيت ملف ثنائي يُسمى teamsSDK.bin.

تقوم مرحلة التمهيد (stager) بتنزيل حزمة تطبيق macOS المزيفة وتوقيعها رقمياً باستخدام أداة التوقيع codesign الأصلية بتوقيع ad hoc. ثم تطلب من الضحية كلمة مروره بشكل متكرر، مع عرض رسائل مترجمة بشكل سيء تبدو أصيلة. 

بعد إكمال عملية التثبيت الوهمية، يبدأ المسروق (stealer) في بصمة النظام، وتكوين الثبات، وتثبيت الحمولة.

على عكس التقنيات الأخرى التي تتضمن استغلال ثغرات معقدة، لا تفعل هذه التقنية ذلك. مما يجعلها فعالة جداً ضد الأهداف القيمة التي قد تكون تدير مكالمات متعددة في وقت واحد أثناء نسخ الأوامر دون التحقق منها.

داخل البرمجية الخبيثة Mach-O Man

تستخدم البرمجية الخبيثة "Mach-O Man" مراحل متعددة، كل منها يحتوي على ثنائيات Mach-O مُجمَّعة بلغة Go. تحتوي البرمجية الخبيثة على وحدة تحليل (profiler) تجمع معلومات النظام، بما في ذلك اسم المضيف، ومعرف UUID، ومعلومات وحدة المعالجة المركزية، وتكوين الشبكة، والعمليات الجارية.

لديها إضافات (extensions) لمتصفحات Chrome وFirefox وSafari وBrave وOpera وVivaldi. يتم نقل المعلومات إلى خادم القيادة والتحكم عبر طلبات POST بسيطة باستخدام curl على المنفذين 8888 و9999.

تقوم الوحدة الثابتة minst2.bin بإنشاء ملف تهيئة LaunchAgent plist (com.onedrive.launcher.plist)، مما يضمن تشغيل البرمجية الخبيثة في كل مرة يسجل فيها المستخدم الدخول، من خلال التظاهر بأنها عملية شرعية تُسمى "OneDrive" أو "خدمة مكافحة الفيروسات".

Macrasv2، وهي الحمولة الأخيرة المسؤولة عن سرقة البيانات من النظام، تجمع المعلومات من تفاصيل تسجيل الدخول إلى المتصفحات وملفات تعريف الارتباط (Cookies) الموجودة في قواعد بيانات SQLite وكذلك إدخالات Keychain الحساسة. ثم يتم ضغط جميع البيانات المجمعة وإرسالها عبر واجهة برمجة تطبيقات Telegram Bot، التي كان رمزها (token) مكشوفاً على السطح.

الإرث المدمر لمجموعة لازاروس في مجال العملات المشفرة والتكنولوجيا الأمريكية

إطلاق "Mach-O Man" يتماشى مع الجهود طويلة الأمد لمجموعة لازاروس لتنفيذ هجمات سيبرانية من أجل الربح المالي. وقد أسفرت هذه الهجمات عن خسائر فادحة في عالم العملات المشفرة، خاصة تلك القائمة في الولايات المتحدة.

تم تحديد هذه المجموعة على أنها مشاركة في بعض أكبر السرقات في تاريخ العملات المشفرة، مثل سرقة Ronin Network (Axie Infinity) بقيمة 625 مليون دولار، وسرقة Bybit بقيمة 1.5 مليار دولار، وسرقة DMM Bitcoin بقيمة 308 مليون دولار، وسرقة KelpDAO بقيمة 292 مليون دولار، وسرقة Drift بقيمة 285 مليون دولار، و235 مليون دولار من WazirX.

يؤدي النقر على الرابط إلى صفحة ويب تبدو أصيلة، تحاكي رسالة خطأ عند محاولة الاتصال بـ Zoom أو Teams أو Meet. تطلب الموقع بعد ذلك من الضحية نسخ ولصق سطر شفرة يبدو غير ضار في طرفية (Terminal) جهاز Mac "لحل" المشكلة.

من خلال ذلك، يمكن للضحية تجاوز آليات أمان macOS، مثل Gatekeeper، لأن الهجوم ينشأ من الضحية نفسها.

عند التنفيذ، تقوم الشفرة بتثبيت ملف ثنائي يُسمى teamsSDK.bin.

تقوم مرحلة التمهيد (stager) بتنزيل حزمة تطبيق macOS المزيفة وتوقيعها رقمياً باستخدام أداة التوقيع codesign الأصلية بتوقيع ad hoc. ثم تطلب من الضحية كلمة مروره بشكل متكرر، مع عرض رسائل مترجمة بشكل سيء تبدو أصيلة. 

بعد إكمال عملية التثبيت الوهمية، يبدأ المسروق (stealer) في بصمة النظام، وتكوين الثبات، وتثبيت الحمولة.

على عكس التقنيات الأخرى التي تتضمن استغلال ثغرات معقدة، لا تفعل هذه التقنية ذلك. مما يجعلها فعالة جداً ضد الأهداف القيمة التي قد تكون تدير مكالمات متعددة في وقت واحد أثناء نسخ الأوامر دون التحقق منها.

داخل البرمجية الخبيثة Mach-O Man

تستخدم البرمجية الخبيثة "Mach-O Man" مراحل متعددة، كل منها يحتوي على ثنائيات Mach-O مُجمَّعة بلغة Go. تحتوي البرمجية الخبيثة على وحدة تحليل (profiler) تجمع معلومات النظام، بما في ذلك اسم المضيف، ومعرف UUID، ومعلومات وحدة المعالجة المركزية، وتكوين الشبكة، والعمليات الجارية.

لديها إضافات (extensions) لمتصفحات Chrome وFirefox وSafari وBrave وOpera وVivaldi. يتم نقل المعلومات إلى خادم القيادة والتحكم عبر طلبات POST بسيطة باستخدام curl على المنفذين 8888 و9999.

تقوم الوحدة الثابتة minst2.bin بإنشاء ملف تهيئة LaunchAgent plist (com.onedrive.launcher.plist)، مما يضمن تشغيل البرمجية الخبيثة في كل مرة يسجل فيها المستخدم الدخول، من خلال التظاهر بأنها عملية شرعية تُسمى "OneDrive" أو "خدمة مكافحة الفيروسات".

Macrasv2، وهي الحمولة الأخيرة المسؤولة عن سرقة البيانات من النظام، تجمع المعلومات من تفاصيل تسجيل الدخول إلى المتصفحات وملفات تعريف الارتباط (Cookies) الموجودة في قواعد بيانات SQLite وكذلك إدخالات Keychain الحساسة. ثم يتم ضغط جميع البيانات المجمعة وإرسالها عبر واجهة برمجة تطبيقات Telegram Bot، التي كان رمزها (token) مكشوفاً على السطح.

الإرث المدمر لمجموعة لازاروس في مجال العملات المشفرة والتكنولوجيا الأمريكية

إطلاق "Mach-O Man" يتماشى مع الجهود طويلة الأمد لمجموعة لازاروس لتنفيذ هجمات سيبرانية من أجل الربح المالي. وقد أسفرت هذه الهجمات عن خسائر فادحة في عالم العملات المشفرة، خاصة تلك القائمة في الولايات المتحدة.

تم تحديد هذه المجموعة على أنها مشاركة في بعض أكبر السرقات في تاريخ العملات المشفرة، مثل سرقة Ronin Network (Axie Infinity) بقيمة 625 مليون دولار، وسرقة Bybit بقيمة 1.5 مليار دولار، وسرقة DMM Bitcoin بقيمة 308 مليون دولار، وسرقة KelpDAO بقيمة 292 مليون دولار، وسرقة Drift بقيمة 285 مليون دولار، و235 مليون دولار من WazirX.

مخترقو كوريا الشمالية يستهدفون مستخدمي Mac

كما أُبلغ، تستغل هذه الهجمة الثقة التي يضعها الموظفون في أدوات الاتصال المنتظمة لديهم، مثل Zoom وMicrosoft Teams وGoogle Meet. وقد حوّل هذا التعاون اليومي إلى قناة لهجمات على مستوى النظام.

The first step is a carefully crafted social engineering lure through Telegram. This lures the victim – developers, executives, and decision makers in the fintech and crypto space – into an urgent meeting invite by a compromised colleague’s account.

يؤدي النقر على الرابط إلى صفحة ويب تبدو أصيلة، تحاكي رسالة خطأ عند محاولة الاتصال بـ Zoom أو Teams أو Meet. تطلب الموقع بعد ذلك من الضحية نسخ ولصق سطر شفرة يبدو غير ضار في طرفية (Terminal) جهاز Mac "لحل" المشكلة.

من خلال ذلك، يمكن للضحية تجاوز آليات أمان macOS، مثل Gatekeeper، لأن الهجوم ينشأ من الضحية نفسها.

عند التنفيذ، تقوم الشفرة بتثبيت ملف ثنائي يُسمى teamsSDK.bin.

تقوم مرحلة التمهيد (stager) بتنزيل حزمة تطبيق macOS المزيفة وتوقيعها رقمياً باستخدام أداة التوقيع codesign الأصلية بتوقيع ad hoc. ثم تطلب من الضحية كلمة مروره بشكل متكرر، مع عرض رسائل مترجمة بشكل سيء تبدو أصيلة. 

بعد إكمال عملية التثبيت الوهمية، يبدأ المسروق (stealer) في بصمة النظام، وتكوين الثبات، وتثبيت الحمولة.

على عكس التقنيات الأخرى التي تتضمن استغلال ثغرات معقدة، لا تفعل هذه التقنية ذلك. مما يجعلها فعالة جداً ضد الأهداف القيمة التي قد تكون تدير مكالمات متعددة في وقت واحد أثناء نسخ الأوامر دون التحقق منها.

داخل البرمجية الخبيثة Mach-O Man

تستخدم البرمجية الخبيثة "Mach-O Man" مراحل متعددة، كل منها يحتوي على ثنائيات Mach-O مُجمَّعة بلغة Go. تحتوي البرمجية الخبيثة على وحدة تحليل (profiler) تجمع معلومات النظام، بما في ذلك اسم المضيف، ومعرف UUID، ومعلومات وحدة المعالجة المركزية، وتكوين الشبكة، والعمليات الجارية.

لديها إضافات (extensions) لمتصفحات Chrome وFirefox وSafari وBrave وOpera وVivaldi. يتم نقل المعلومات إلى خادم القيادة والتحكم عبر طلبات POST بسيطة باستخدام curl على المنفذين 8888 و9999.

تقوم الوحدة الثابتة minst2.bin بإنشاء ملف تهيئة LaunchAgent plist (com.onedrive.launcher.plist)، مما يضمن تشغيل البرمجية الخبيثة في كل مرة يسجل فيها المستخدم الدخول، من خلال التظاهر بأنها عملية شرعية تُسمى "OneDrive" أو "خدمة مكافحة الفيروسات".

Macrasv2، وهي الحمولة الأخيرة المسؤولة عن سرقة البيانات من النظام، تجمع المعلومات من تفاصيل تسجيل الدخول إلى المتصفحات وملفات تعريف الارتباط (Cookies) الموجودة في قواعد بيانات SQLite وكذلك إدخالات Keychain الحساسة. ثم يتم ضغط جميع البيانات المجمعة وإرسالها عبر واجهة برمجة تطبيقات Telegram Bot، التي كان رمزها (token) مكشوفاً على السطح.

الإرث المدمر لمجموعة لازاروس في مجال العملات المشفرة والتكنولوجيا الأمريكية

إطلاق "Mach-O Man" يتماشى مع الجهود طويلة الأمد لمجموعة لازاروس لتنفيذ هجمات سيبرانية من أجل الربح المالي. وقد أسفرت هذه الهجمات عن خسائر فادحة في عالم العملات المشفرة، خاصة تلك القائمة في الولايات المتحدة.

تم تحديد هذه المجموعة على أنها مشاركة في بعض أكبر السرقات في تاريخ العملات المشفرة، مثل سرقة Ronin Network (Axie Infinity) بقيمة 625 مليون دولار، وسرقة Bybit بقيمة 1.5 مليار دولار، وسرقة DMM Bitcoin بقيمة 308 مليون دولار، وسرقة KelpDAO بقيمة 292 مليون دولار، وسرقة Drift بقيمة 285 مليون دولار، و235 مليون دولار من WazirX.

مخترقو كوريا الشمالية يستهدفون مستخدمي Mac

كما أُبلغ، تستغل هذه الهجمة الثقة التي يضعها الموظفون في أدوات الاتصال المنتظمة لديهم، مثل Zoom وMicrosoft Teams وGoogle Meet. وقد حوّل هذا التعاون اليومي إلى قناة لهجمات على مستوى النظام.

The first step is a carefully crafted social engineering lure through Telegram. This lures the victim – developers, executives, and decision makers in the fintech and crypto space – into an urgent meeting invite by a compromised colleague’s account.

يؤدي النقر على الرابط إلى صفحة ويب تبدو أصيلة، تحاكي رسالة خطأ عند محاولة الاتصال بـ Zoom أو Teams أو Meet. تطلب الموقع بعد ذلك من الضحية نسخ ولصق سطر شفرة يبدو غير ضار في طرفية (Terminal) جهاز Mac "لحل" المشكلة.

من خلال ذلك، يمكن للضحية تجاوز آليات أمان macOS، مثل Gatekeeper، لأن الهجوم ينشأ من الضحية نفسها.

عند التنفيذ، تقوم الشفرة بتثبيت ملف ثنائي يُسمى teamsSDK.bin.

تقوم مرحلة التمهيد (stager) بتنزيل حزمة تطبيق macOS المزيفة وتوقيعها رقمياً باستخدام أداة التوقيع codesign الأصلية بتوقيع ad hoc. ثم تطلب من الضحية كلمة مروره بشكل متكرر، مع عرض رسائل مترجمة بشكل سيء تبدو أصيلة. 

بعد إكمال عملية التثبيت الوهمية، يبدأ المسروق (stealer) في بصمة النظام، وتكوين الثبات، وتثبيت الحمولة.

على عكس التقنيات الأخرى التي تتضمن استغلال ثغرات معقدة، لا تفعل هذه التقنية ذلك. مما يجعلها فعالة جداً ضد الأهداف القيمة التي قد تكون تدير مكالمات متعددة في وقت واحد أثناء نسخ الأوامر دون التحقق منها.

داخل البرمجية الخبيثة Mach-O Man

تستخدم البرمجية الخبيثة "Mach-O Man" مراحل متعددة، كل منها يحتوي على ثنائيات Mach-O مُجمَّعة بلغة Go. تحتوي البرمجية الخبيثة على وحدة تحليل (profiler) تجمع معلومات النظام، بما في ذلك اسم المضيف، ومعرف UUID، ومعلومات وحدة المعالجة المركزية، وتكوين الشبكة، والعمليات الجارية.

لديها إضافات (extensions) لمتصفحات Chrome وFirefox وSafari وBrave وOpera وVivaldi. يتم نقل المعلومات إلى خادم القيادة والتحكم عبر طلبات POST بسيطة باستخدام curl على المنفذين 8888 و9999.

تقوم الوحدة الثابتة minst2.bin بإنشاء ملف تهيئة LaunchAgent plist (com.onedrive.launcher.plist)، مما يضمن تشغيل البرمجية الخبيثة في كل مرة يسجل فيها المستخدم الدخول، من خلال التظاهر بأنها عملية شرعية تُسمى "OneDrive" أو "خدمة مكافحة الفيروسات".

Macrasv2، وهي الحمولة الأخيرة المسؤولة عن سرقة البيانات من النظام، تجمع المعلومات من تفاصيل تسجيل الدخول إلى المتصفحات وملفات تعريف الارتباط (Cookies) الموجودة في قواعد بيانات SQLite وكذلك إدخالات Keychain الحساسة. ثم يتم ضغط جميع البيانات المجمعة وإرسالها عبر واجهة برمجة تطبيقات Telegram Bot، التي كان رمزها (token) مكشوفاً على السطح.

الإرث المدمر لمجموعة لازاروس في مجال العملات المشفرة والتكنولوجيا الأمريكية

إطلاق "Mach-O Man" يتماشى مع الجهود طويلة الأمد لمجموعة لازاروس لتنفيذ هجمات سيبرانية من أجل الربح المالي. وقد أسفرت هذه الهجمات عن خسائر فادحة في عالم العملات المشفرة، خاصة تلك القائمة في الولايات المتحدة.

تم تحديد هذه المجموعة على أنها مشاركة في بعض أكبر السرقات في تاريخ العملات المشفرة، مثل سرقة Ronin Network (Axie Infinity) بقيمة 625 مليون دولار، وسرقة Bybit بقيمة 1.5 مليار دولار، وسرقة DMM Bitcoin بقيمة 308 مليون دولار، وسرقة KelpDAO بقيمة 292 مليون دولار، وسرقة Drift بقيمة 285 مليون دولار، و235 مليون دولار من WazirX.

أطلقت مجموعة لازاروس الكورية الشمالية برمجيات خبيثة متطورة تستهدف أجهزة macOS. يُطلق عليها اسم Mach-O Man، وهي مصممة لاستهداف شركات العملات المشفرة، ومنظمات التكنولوجيا المالية، والمدراء التنفيذيين الرئيسيين الذين يستخدمون أجهزة Mac لإجراء المعاملات المالية.

تم تحديد الهجوم لأول مرة في منتصف أبريل 2026. يستخدم تطبيقات مكان العمل الشائعة مثل Zoom وMicrosoft Teams وGoogle Meet لإطلاق هجمات الهندسة الاجتماعية.

مخترقو كوريا الشمالية يستهدفون مستخدمي Mac

كما أُبلغ، تستغل هذه الهجمة الثقة التي يضعها الموظفون في أدوات الاتصال المنتظمة لديهم، مثل Zoom وMicrosoft Teams وGoogle Meet. وقد حوّل هذا التعاون اليومي إلى قناة لهجمات على مستوى النظام.

The first step is a carefully crafted social engineering lure through Telegram. This lures the victim – developers, executives, and decision makers in the fintech and crypto space – into an urgent meeting invite by a compromised colleague’s account.

يؤدي النقر على الرابط إلى صفحة ويب تبدو أصيلة، تحاكي رسالة خطأ عند محاولة الاتصال بـ Zoom أو Teams أو Meet. تطلب الموقع بعد ذلك من الضحية نسخ ولصق سطر شفرة يبدو غير ضار في طرفية (Terminal) جهاز Mac "لحل" المشكلة.

من خلال ذلك، يمكن للضحية تجاوز آليات أمان macOS، مثل Gatekeeper، لأن الهجوم ينشأ من الضحية نفسها.

عند التنفيذ، تقوم الشفرة بتثبيت ملف ثنائي يُسمى teamsSDK.bin.

تقوم مرحلة التمهيد (stager) بتنزيل حزمة تطبيق macOS المزيفة وتوقيعها رقمياً باستخدام أداة التوقيع codesign الأصلية بتوقيع ad hoc. ثم تطلب من الضحية كلمة مروره بشكل متكرر، مع عرض رسائل مترجمة بشكل سيء تبدو أصيلة. 

بعد إكمال عملية التثبيت الوهمية، يبدأ المسروق (stealer) في بصمة النظام، وتكوين الثبات، وتثبيت الحمولة.

على عكس التقنيات الأخرى التي تتضمن استغلال ثغرات معقدة، لا تفعل هذه التقنية ذلك. مما يجعلها فعالة جداً ضد الأهداف القيمة التي قد تكون تدير مكالمات متعددة في وقت واحد أثناء نسخ الأوامر دون التحقق منها.

داخل البرمجية الخبيثة Mach-O Man

تستخدم البرمجية الخبيثة "Mach-O Man" مراحل متعددة، كل منها يحتوي على ثنائيات Mach-O مُجمَّعة بلغة Go. تحتوي البرمجية الخبيثة على وحدة تحليل (profiler) تجمع معلومات النظام، بما في ذلك اسم المضيف، ومعرف UUID، ومعلومات وحدة المعالجة المركزية، وتكوين الشبكة، والعمليات الجارية.

لديها إضافات (extensions) لمتصفحات Chrome وFirefox وSafari وBrave وOpera وVivaldi. يتم نقل المعلومات إلى خادم القيادة والتحكم عبر طلبات POST بسيطة باستخدام curl على المنفذين 8888 و9999.

تقوم الوحدة الثابتة minst2.bin بإنشاء ملف تهيئة LaunchAgent plist (com.onedrive.launcher.plist)، مما يضمن تشغيل البرمجية الخبيثة في كل مرة يسجل فيها المستخدم الدخول، من خلال التظاهر بأنها عملية شرعية تُسمى "OneDrive" أو "خدمة مكافحة الفيروسات".

Macrasv2، وهي الحمولة الأخيرة المسؤولة عن سرقة البيانات من النظام، تجمع المعلومات من تفاصيل تسجيل الدخول إلى المتصفحات وملفات تعريف الارتباط (Cookies) الموجودة في قواعد بيانات SQLite وكذلك إدخالات Keychain الحساسة. ثم يتم ضغط جميع البيانات المجمعة وإرسالها عبر واجهة برمجة تطبيقات Telegram Bot، التي كان رمزها (token) مكشوفاً على السطح.

الإرث المدمر لمجموعة لازاروس في مجال العملات المشفرة والتكنولوجيا الأمريكية

إطلاق "Mach-O Man" يتماشى مع الجهود طويلة الأمد لمجموعة لازاروس لتنفيذ هجمات سيبرانية من أجل الربح المالي. وقد أسفرت هذه الهجمات عن خسائر فادحة في عالم العملات المشفرة، خاصة تلك القائمة في الولايات المتحدة.

تم تحديد هذه المجموعة على أنها مشاركة في بعض أكبر السرقات في تاريخ العملات المشفرة، مثل سرقة Ronin Network (Axie Infinity) بقيمة 625 مليون دولار، وسرقة Bybit بقيمة 1.5 مليار دولار، وسرقة DMM Bitcoin بقيمة 308 مليون دولار، وسرقة KelpDAO بقيمة 292 مليون دولار، وسرقة Drift بقيمة 285 مليون دولار، و235 مليون دولار من WazirX.

أطلقت مجموعة لازاروس الكورية الشمالية برمجيات خبيثة متطورة تستهدف أجهزة macOS. يُطلق عليها اسم Mach-O Man، وهي مصممة لاستهداف شركات العملات المشفرة، ومنظمات التكنولوجيا المالية، والمدراء التنفيذيين الرئيسيين الذين يستخدمون أجهزة Mac لإجراء المعاملات المالية.

تم تحديد الهجوم لأول مرة في منتصف أبريل 2026. يستخدم تطبيقات مكان العمل الشائعة مثل Zoom وMicrosoft Teams وGoogle Meet لإطلاق هجمات الهندسة الاجتماعية.

مخترقو كوريا الشمالية يستهدفون مستخدمي Mac

كما أُبلغ، تستغل هذه الهجمة الثقة التي يضعها الموظفون في أدوات الاتصال المنتظمة لديهم، مثل Zoom وMicrosoft Teams وGoogle Meet. وقد حوّل هذا التعاون اليومي إلى قناة لهجمات على مستوى النظام.

The first step is a carefully crafted social engineering lure through Telegram. This lures the victim – developers, executives, and decision makers in the fintech and crypto space – into an urgent meeting invite by a compromised colleague’s account.

يؤدي النقر على الرابط إلى صفحة ويب تبدو أصيلة، تحاكي رسالة خطأ عند محاولة الاتصال بـ Zoom أو Teams أو Meet. تطلب الموقع بعد ذلك من الضحية نسخ ولصق سطر شفرة يبدو غير ضار في طرفية (Terminal) جهاز Mac "لحل" المشكلة.

من خلال ذلك، يمكن للضحية تجاوز آليات أمان macOS، مثل Gatekeeper، لأن الهجوم ينشأ من الضحية نفسها.

عند التنفيذ، تقوم الشفرة بتثبيت ملف ثنائي يُسمى teamsSDK.bin.

تقوم مرحلة التمهيد (stager) بتنزيل حزمة تطبيق macOS المزيفة وتوقيعها رقمياً باستخدام أداة التوقيع codesign الأصلية بتوقيع ad hoc. ثم تطلب من الضحية كلمة مروره بشكل متكرر، مع عرض رسائل مترجمة بشكل سيء تبدو أصيلة. 

بعد إكمال عملية التثبيت الوهمية، يبدأ المسروق (stealer) في بصمة النظام، وتكوين الثبات، وتثبيت الحمولة.

على عكس التقنيات الأخرى التي تتضمن استغلال ثغرات معقدة، لا تفعل هذه التقنية ذلك. مما يجعلها فعالة جداً ضد الأهداف القيمة التي قد تكون تدير مكالمات متعددة في وقت واحد أثناء نسخ الأوامر دون التحقق منها.

داخل البرمجية الخبيثة Mach-O Man

تستخدم البرمجية الخبيثة "Mach-O Man" مراحل متعددة، كل منها يحتوي على ثنائيات Mach-O مُجمَّعة بلغة Go. تحتوي البرمجية الخبيثة على وحدة تحليل (profiler) تجمع معلومات النظام، بما في ذلك اسم المضيف، ومعرف UUID، ومعلومات وحدة المعالجة المركزية، وتكوين الشبكة، والعمليات الجارية.

لديها إضافات (extensions) لمتصفحات Chrome وFirefox وSafari وBrave وOpera وVivaldi. يتم نقل المعلومات إلى خادم القيادة والتحكم عبر طلبات POST بسيطة باستخدام curl على المنفذين 8888 و9999.

تقوم الوحدة الثابتة minst2.bin بإنشاء ملف تهيئة LaunchAgent plist (com.onedrive.launcher.plist)، مما يضمن تشغيل البرمجية الخبيثة في كل مرة يسجل فيها المستخدم الدخول، من خلال التظاهر بأنها عملية شرعية تُسمى "OneDrive" أو "خدمة مكافحة الفيروسات".

Macrasv2، وهي الحمولة الأخيرة المسؤولة عن سرقة البيانات من النظام، تجمع المعلومات من تفاصيل تسجيل الدخول إلى المتصفحات وملفات تعريف الارتباط (Cookies) الموجودة في قواعد بيانات SQLite وكذلك إدخالات Keychain الحساسة. ثم يتم ضغط جميع البيانات المجمعة وإرسالها عبر واجهة برمجة تطبيقات Telegram Bot، التي كان رمزها (token) مكشوفاً على السطح.

الإرث المدمر لمجموعة لازاروس في مجال العملات المشفرة والتكنولوجيا الأمريكية

إطلاق "Mach-O Man" يتماشى مع الجهود طويلة الأمد لمجموعة لازاروس لتنفيذ هجمات سيبرانية من أجل الربح المالي. وقد أسفرت هذه الهجمات عن خسائر فادحة في عالم العملات المشفرة، خاصة تلك القائمة في الولايات المتحدة.

تم تحديد هذه المجموعة على أنها مشاركة في بعض أكبر السرقات في تاريخ العملات المشفرة، مثل سرقة Ronin Network (Axie Infinity) بقيمة 625 مليون دولار، وسرقة Bybit بقيمة 1.5 مليار دولار، وسرقة DMM Bitcoin بقيمة 308 مليون دولار، وسرقة KelpDAO بقيمة 292 مليون دولار، وسرقة Drift بقيمة 285 مليون دولار، و235 مليون دولار من WazirX.