Nordkoreas Lazarus Group zielt mit dem macOS-Malware-Kit „Mach-O Man“ auf Krypto, hochrangige Führungskräfte
- Die nordkoreanische Lazarus-Gruppe hat „Mach-O Man“ gestartet, einen hochentwickelten Malware-Kit, der macOS-Nutzer im Krypto- und Fintech-Bereich ins Visier nimmt.
- Die Malware stiehlt Browser-Anmeldeinformationen, Cookies, Keychain-Daten und Systeminformationen.
- Diese Technologie erweitert die Reichweite der Lazarus-Gruppe auf hochrangige Führungskräfte und Entwickler, die kritische Wallets und Schlüssel auf Apple-Geräten verwalten.
Das persistente Modul minst2.bin legt eine LaunchAgent-plist-Datei (com.onedrive.launcher.plist) ab, die sicherstellt, dass die Malware bei jeder Anmeldung des Benutzers gestartet wird, indem sie sich als legitimer Prozess namens „OneDrive“ oder „Antivirus Service“ ausgibt.
Macrasv2, das letzte Payload, das für das Stehlen von Daten vom System verantwortlich ist, sammelt Informationen aus Browser-Anmeldedetails und Cookies in SQLite-Datenbanken sowie sensible Keychain-Einträge. Alle gesammelten Daten werden dann zippt und über die Telegram-Bot-API gesendet, deren Token an der Oberfläche offengelegt wurde.
Die verheerende Legacy der Lazarus Group in Krypto und US-Tech
Die Einführung von „Mach-O Man“ steht im Einklang mit den langfristigen Bemühungen der Lazarus Group, Cyberangriffe zum finanziellen Gewinn durchzuführen. Diese haben zu enormen Verlusten in der Krypto-Welt geführt, insbesondere für solche, die in den Vereinigten Staaten ansässig sind.
Diese Gruppe wurde als an einigen der größten Diebstähle in der Krypto-Geschichte beteiligt identifiziert, wie dem 625-Millionen-Dollar-Diebstahl vom Ronin Network (Axie Infinity), dem 1,5-Milliarden-Dollar-Diebstahl von Bybit, dem 308-Millionen-Dollar-Diebstahl von DMM Bitcoin, dem 292-Millionen-Dollar-Diebstahl von KelpDAO, dem 285-Millionen-Dollar-Diebstahl von Drift und 235 Millionen Dollar von WazirX.
Die „Mach-O Man“-Malware verwendet mehrere Stufen, jede mit Go-kompilierten Mach-O-Binärdarstellungen. Die Malware enthält ein Profiler-Modul, das Systeminformationen sammelt, einschließlich Hostname, UUID, CPU-Informationen, Netzwerkkonfiguration und laufender Prozesse
Sie verfügt über Erweiterungen für Chrome, Firefox, Safari, Brave, Opera und Vivaldi Browser. Die Informationen werden über einfache curl-POST-Anfragen an die Ports 8888 und 9999 an den Command-and-Control-Server übertragen.
Das persistente Modul minst2.bin legt eine LaunchAgent-plist-Datei (com.onedrive.launcher.plist) ab, die sicherstellt, dass die Malware bei jeder Anmeldung des Benutzers gestartet wird, indem sie sich als legitimer Prozess namens „OneDrive“ oder „Antivirus Service“ ausgibt.
Macrasv2, das letzte Payload, das für das Stehlen von Daten vom System verantwortlich ist, sammelt Informationen aus Browser-Anmeldedetails und Cookies in SQLite-Datenbanken sowie sensible Keychain-Einträge. Alle gesammelten Daten werden dann zippt und über die Telegram-Bot-API gesendet, deren Token an der Oberfläche offengelegt wurde.
Die verheerende Legacy der Lazarus Group in Krypto und US-Tech
Die Einführung von „Mach-O Man“ steht im Einklang mit den langfristigen Bemühungen der Lazarus Group, Cyberangriffe zum finanziellen Gewinn durchzuführen. Diese haben zu enormen Verlusten in der Krypto-Welt geführt, insbesondere für solche, die in den Vereinigten Staaten ansässig sind.
Diese Gruppe wurde als an einigen der größten Diebstähle in der Krypto-Geschichte beteiligt identifiziert, wie dem 625-Millionen-Dollar-Diebstahl vom Ronin Network (Axie Infinity), dem 1,5-Milliarden-Dollar-Diebstahl von Bybit, dem 308-Millionen-Dollar-Diebstahl von DMM Bitcoin, dem 292-Millionen-Dollar-Diebstahl von KelpDAO, dem 285-Millionen-Dollar-Diebstahl von Drift und 235 Millionen Dollar von WazirX.
Die „Mach-O Man“-Malware verwendet mehrere Stufen, jede mit Go-kompilierten Mach-O-Binärdarstellungen. Die Malware enthält ein Profiler-Modul, das Systeminformationen sammelt, einschließlich Hostname, UUID, CPU-Informationen, Netzwerkkonfiguration und laufender Prozesse
Sie verfügt über Erweiterungen für Chrome, Firefox, Safari, Brave, Opera und Vivaldi Browser. Die Informationen werden über einfache curl-POST-Anfragen an die Ports 8888 und 9999 an den Command-and-Control-Server übertragen.
Das persistente Modul minst2.bin legt eine LaunchAgent-plist-Datei (com.onedrive.launcher.plist) ab, die sicherstellt, dass die Malware bei jeder Anmeldung des Benutzers gestartet wird, indem sie sich als legitimer Prozess namens „OneDrive“ oder „Antivirus Service“ ausgibt.
Macrasv2, das letzte Payload, das für das Stehlen von Daten vom System verantwortlich ist, sammelt Informationen aus Browser-Anmeldedetails und Cookies in SQLite-Datenbanken sowie sensible Keychain-Einträge. Alle gesammelten Daten werden dann zippt und über die Telegram-Bot-API gesendet, deren Token an der Oberfläche offengelegt wurde.
Die verheerende Legacy der Lazarus Group in Krypto und US-Tech
Die Einführung von „Mach-O Man“ steht im Einklang mit den langfristigen Bemühungen der Lazarus Group, Cyberangriffe zum finanziellen Gewinn durchzuführen. Diese haben zu enormen Verlusten in der Krypto-Welt geführt, insbesondere für solche, die in den Vereinigten Staaten ansässig sind.
Diese Gruppe wurde als an einigen der größten Diebstähle in der Krypto-Geschichte beteiligt identifiziert, wie dem 625-Millionen-Dollar-Diebstahl vom Ronin Network (Axie Infinity), dem 1,5-Milliarden-Dollar-Diebstahl von Bybit, dem 308-Millionen-Dollar-Diebstahl von DMM Bitcoin, dem 292-Millionen-Dollar-Diebstahl von KelpDAO, dem 285-Millionen-Dollar-Diebstahl von Drift und 235 Millionen Dollar von WazirX.
Nach Abschluss des gefälschten Installationsprozesses beginnt der Stealer mit der Systemfingerprinting, Persistenzkonfiguration und Payload-Installation.
Im Gegensatz zu anderen Techniken, die komplexe Exploits beinhalten, tut dies diese nicht. Dies macht sie sehr effektiv bei wertvollen Zielen, die mehrere gleichzeitige Anrufe verwalten könnten, während sie Befehle kopieren, ohne sie zu überprüfen.
Inside der Mach-O Man Malware
Die „Mach-O Man“-Malware verwendet mehrere Stufen, jede mit Go-kompilierten Mach-O-Binärdarstellungen. Die Malware enthält ein Profiler-Modul, das Systeminformationen sammelt, einschließlich Hostname, UUID, CPU-Informationen, Netzwerkkonfiguration und laufender Prozesse
Sie verfügt über Erweiterungen für Chrome, Firefox, Safari, Brave, Opera und Vivaldi Browser. Die Informationen werden über einfache curl-POST-Anfragen an die Ports 8888 und 9999 an den Command-and-Control-Server übertragen.
Das persistente Modul minst2.bin legt eine LaunchAgent-plist-Datei (com.onedrive.launcher.plist) ab, die sicherstellt, dass die Malware bei jeder Anmeldung des Benutzers gestartet wird, indem sie sich als legitimer Prozess namens „OneDrive“ oder „Antivirus Service“ ausgibt.
Macrasv2, das letzte Payload, das für das Stehlen von Daten vom System verantwortlich ist, sammelt Informationen aus Browser-Anmeldedetails und Cookies in SQLite-Datenbanken sowie sensible Keychain-Einträge. Alle gesammelten Daten werden dann zippt und über die Telegram-Bot-API gesendet, deren Token an der Oberfläche offengelegt wurde.
Die verheerende Legacy der Lazarus Group in Krypto und US-Tech
Die Einführung von „Mach-O Man“ steht im Einklang mit den langfristigen Bemühungen der Lazarus Group, Cyberangriffe zum finanziellen Gewinn durchzuführen. Diese haben zu enormen Verlusten in der Krypto-Welt geführt, insbesondere für solche, die in den Vereinigten Staaten ansässig sind.
Diese Gruppe wurde als an einigen der größten Diebstähle in der Krypto-Geschichte beteiligt identifiziert, wie dem 625-Millionen-Dollar-Diebstahl vom Ronin Network (Axie Infinity), dem 1,5-Milliarden-Dollar-Diebstahl von Bybit, dem 308-Millionen-Dollar-Diebstahl von DMM Bitcoin, dem 292-Millionen-Dollar-Diebstahl von KelpDAO, dem 285-Millionen-Dollar-Diebstahl von Drift und 235 Millionen Dollar von WazirX.
Nach Abschluss des gefälschten Installationsprozesses beginnt der Stealer mit der Systemfingerprinting, Persistenzkonfiguration und Payload-Installation.
Im Gegensatz zu anderen Techniken, die komplexe Exploits beinhalten, tut dies diese nicht. Dies macht sie sehr effektiv bei wertvollen Zielen, die mehrere gleichzeitige Anrufe verwalten könnten, während sie Befehle kopieren, ohne sie zu überprüfen.
Inside der Mach-O Man Malware
Die „Mach-O Man“-Malware verwendet mehrere Stufen, jede mit Go-kompilierten Mach-O-Binärdarstellungen. Die Malware enthält ein Profiler-Modul, das Systeminformationen sammelt, einschließlich Hostname, UUID, CPU-Informationen, Netzwerkkonfiguration und laufender Prozesse
Sie verfügt über Erweiterungen für Chrome, Firefox, Safari, Brave, Opera und Vivaldi Browser. Die Informationen werden über einfache curl-POST-Anfragen an die Ports 8888 und 9999 an den Command-and-Control-Server übertragen.
Das persistente Modul minst2.bin legt eine LaunchAgent-plist-Datei (com.onedrive.launcher.plist) ab, die sicherstellt, dass die Malware bei jeder Anmeldung des Benutzers gestartet wird, indem sie sich als legitimer Prozess namens „OneDrive“ oder „Antivirus Service“ ausgibt.
Macrasv2, das letzte Payload, das für das Stehlen von Daten vom System verantwortlich ist, sammelt Informationen aus Browser-Anmeldedetails und Cookies in SQLite-Datenbanken sowie sensible Keychain-Einträge. Alle gesammelten Daten werden dann zippt und über die Telegram-Bot-API gesendet, deren Token an der Oberfläche offengelegt wurde.
Die verheerende Legacy der Lazarus Group in Krypto und US-Tech
Die Einführung von „Mach-O Man“ steht im Einklang mit den langfristigen Bemühungen der Lazarus Group, Cyberangriffe zum finanziellen Gewinn durchzuführen. Diese haben zu enormen Verlusten in der Krypto-Welt geführt, insbesondere für solche, die in den Vereinigten Staaten ansässig sind.
Diese Gruppe wurde als an einigen der größten Diebstähle in der Krypto-Geschichte beteiligt identifiziert, wie dem 625-Millionen-Dollar-Diebstahl vom Ronin Network (Axie Infinity), dem 1,5-Milliarden-Dollar-Diebstahl von Bybit, dem 308-Millionen-Dollar-Diebstahl von DMM Bitcoin, dem 292-Millionen-Dollar-Diebstahl von KelpDAO, dem 285-Millionen-Dollar-Diebstahl von Drift und 235 Millionen Dollar von WazirX.
Nach Abschluss des gefälschten Installationsprozesses beginnt der Stealer mit der Systemfingerprinting, Persistenzkonfiguration und Payload-Installation.
Im Gegensatz zu anderen Techniken, die komplexe Exploits beinhalten, tut dies diese nicht. Dies macht sie sehr effektiv bei wertvollen Zielen, die mehrere gleichzeitige Anrufe verwalten könnten, während sie Befehle kopieren, ohne sie zu überprüfen.
Inside der Mach-O Man Malware
Die „Mach-O Man“-Malware verwendet mehrere Stufen, jede mit Go-kompilierten Mach-O-Binärdarstellungen. Die Malware enthält ein Profiler-Modul, das Systeminformationen sammelt, einschließlich Hostname, UUID, CPU-Informationen, Netzwerkkonfiguration und laufender Prozesse
Sie verfügt über Erweiterungen für Chrome, Firefox, Safari, Brave, Opera und Vivaldi Browser. Die Informationen werden über einfache curl-POST-Anfragen an die Ports 8888 und 9999 an den Command-and-Control-Server übertragen.
Das persistente Modul minst2.bin legt eine LaunchAgent-plist-Datei (com.onedrive.launcher.plist) ab, die sicherstellt, dass die Malware bei jeder Anmeldung des Benutzers gestartet wird, indem sie sich als legitimer Prozess namens „OneDrive“ oder „Antivirus Service“ ausgibt.
Macrasv2, das letzte Payload, das für das Stehlen von Daten vom System verantwortlich ist, sammelt Informationen aus Browser-Anmeldedetails und Cookies in SQLite-Datenbanken sowie sensible Keychain-Einträge. Alle gesammelten Daten werden dann zippt und über die Telegram-Bot-API gesendet, deren Token an der Oberfläche offengelegt wurde.
Die verheerende Legacy der Lazarus Group in Krypto und US-Tech
Die Einführung von „Mach-O Man“ steht im Einklang mit den langfristigen Bemühungen der Lazarus Group, Cyberangriffe zum finanziellen Gewinn durchzuführen. Diese haben zu enormen Verlusten in der Krypto-Welt geführt, insbesondere für solche, die in den Vereinigten Staaten ansässig sind.
Diese Gruppe wurde als an einigen der größten Diebstähle in der Krypto-Geschichte beteiligt identifiziert, wie dem 625-Millionen-Dollar-Diebstahl vom Ronin Network (Axie Infinity), dem 1,5-Milliarden-Dollar-Diebstahl von Bybit, dem 308-Millionen-Dollar-Diebstahl von DMM Bitcoin, dem 292-Millionen-Dollar-Diebstahl von KelpDAO, dem 285-Millionen-Dollar-Diebstahl von Drift und 235 Millionen Dollar von WazirX.
Ein Klick auf den Link führt zu einer scheinbar authentischen Webseite, die eine Fehlermeldung simuliert, wenn versucht wird, sich mit Zoom, Teams oder Meet zu verbinden. Die Website bittet das Opfer dann, eine scheinbar harmlose Codezeile in das Terminal des Macs zu kopieren und einzufügen, um das Problem zu „lösen“.
Dadurch kann das Opfer macOS-Sicherheitsmechanismen wie Gatekeeper umgehen, da der Angriff vom Opfer selbst ausgeht.
Bei der Ausführung installiert der Code eine Binärdatei namens teamsSDK.bin.
Der Stager lädt das gefälschte macOS-App-Bundle herunter und signiert es digital mit dem nativen Codesign-Tool unter Verwendung einer ad-hoc-Signatur. Dann bittet er wiederholt das Opfer um sein Passwort und zeigt schlecht übersetzte Nachrichten an, die authentisch erscheinen.
Nach Abschluss des gefälschten Installationsprozesses beginnt der Stealer mit der Systemfingerprinting, Persistenzkonfiguration und Payload-Installation.
Im Gegensatz zu anderen Techniken, die komplexe Exploits beinhalten, tut dies diese nicht. Dies macht sie sehr effektiv bei wertvollen Zielen, die mehrere gleichzeitige Anrufe verwalten könnten, während sie Befehle kopieren, ohne sie zu überprüfen.
Inside der Mach-O Man Malware
Die „Mach-O Man“-Malware verwendet mehrere Stufen, jede mit Go-kompilierten Mach-O-Binärdarstellungen. Die Malware enthält ein Profiler-Modul, das Systeminformationen sammelt, einschließlich Hostname, UUID, CPU-Informationen, Netzwerkkonfiguration und laufender Prozesse
Sie verfügt über Erweiterungen für Chrome, Firefox, Safari, Brave, Opera und Vivaldi Browser. Die Informationen werden über einfache curl-POST-Anfragen an die Ports 8888 und 9999 an den Command-and-Control-Server übertragen.
Das persistente Modul minst2.bin legt eine LaunchAgent-plist-Datei (com.onedrive.launcher.plist) ab, die sicherstellt, dass die Malware bei jeder Anmeldung des Benutzers gestartet wird, indem sie sich als legitimer Prozess namens „OneDrive“ oder „Antivirus Service“ ausgibt.
Macrasv2, das letzte Payload, das für das Stehlen von Daten vom System verantwortlich ist, sammelt Informationen aus Browser-Anmeldedetails und Cookies in SQLite-Datenbanken sowie sensible Keychain-Einträge. Alle gesammelten Daten werden dann zippt und über die Telegram-Bot-API gesendet, deren Token an der Oberfläche offengelegt wurde.
Die verheerende Legacy der Lazarus Group in Krypto und US-Tech
Die Einführung von „Mach-O Man“ steht im Einklang mit den langfristigen Bemühungen der Lazarus Group, Cyberangriffe zum finanziellen Gewinn durchzuführen. Diese haben zu enormen Verlusten in der Krypto-Welt geführt, insbesondere für solche, die in den Vereinigten Staaten ansässig sind.
Diese Gruppe wurde als an einigen der größten Diebstähle in der Krypto-Geschichte beteiligt identifiziert, wie dem 625-Millionen-Dollar-Diebstahl vom Ronin Network (Axie Infinity), dem 1,5-Milliarden-Dollar-Diebstahl von Bybit, dem 308-Millionen-Dollar-Diebstahl von DMM Bitcoin, dem 292-Millionen-Dollar-Diebstahl von KelpDAO, dem 285-Millionen-Dollar-Diebstahl von Drift und 235 Millionen Dollar von WazirX.
Ein Klick auf den Link führt zu einer scheinbar authentischen Webseite, die eine Fehlermeldung simuliert, wenn versucht wird, sich mit Zoom, Teams oder Meet zu verbinden. Die Website bittet das Opfer dann, eine scheinbar harmlose Codezeile in das Terminal des Macs zu kopieren und einzufügen, um das Problem zu „lösen“.
Dadurch kann das Opfer macOS-Sicherheitsmechanismen wie Gatekeeper umgehen, da der Angriff vom Opfer selbst ausgeht.
Bei der Ausführung installiert der Code eine Binärdatei namens teamsSDK.bin.
Der Stager lädt das gefälschte macOS-App-Bundle herunter und signiert es digital mit dem nativen Codesign-Tool unter Verwendung einer ad-hoc-Signatur. Dann bittet er wiederholt das Opfer um sein Passwort und zeigt schlecht übersetzte Nachrichten an, die authentisch erscheinen.
Nach Abschluss des gefälschten Installationsprozesses beginnt der Stealer mit der Systemfingerprinting, Persistenzkonfiguration und Payload-Installation.
Im Gegensatz zu anderen Techniken, die komplexe Exploits beinhalten, tut dies diese nicht. Dies macht sie sehr effektiv bei wertvollen Zielen, die mehrere gleichzeitige Anrufe verwalten könnten, während sie Befehle kopieren, ohne sie zu überprüfen.
Inside der Mach-O Man Malware
Die „Mach-O Man“-Malware verwendet mehrere Stufen, jede mit Go-kompilierten Mach-O-Binärdarstellungen. Die Malware enthält ein Profiler-Modul, das Systeminformationen sammelt, einschließlich Hostname, UUID, CPU-Informationen, Netzwerkkonfiguration und laufender Prozesse
Sie verfügt über Erweiterungen für Chrome, Firefox, Safari, Brave, Opera und Vivaldi Browser. Die Informationen werden über einfache curl-POST-Anfragen an die Ports 8888 und 9999 an den Command-and-Control-Server übertragen.
Das persistente Modul minst2.bin legt eine LaunchAgent-plist-Datei (com.onedrive.launcher.plist) ab, die sicherstellt, dass die Malware bei jeder Anmeldung des Benutzers gestartet wird, indem sie sich als legitimer Prozess namens „OneDrive“ oder „Antivirus Service“ ausgibt.
Macrasv2, das letzte Payload, das für das Stehlen von Daten vom System verantwortlich ist, sammelt Informationen aus Browser-Anmeldedetails und Cookies in SQLite-Datenbanken sowie sensible Keychain-Einträge. Alle gesammelten Daten werden dann zippt und über die Telegram-Bot-API gesendet, deren Token an der Oberfläche offengelegt wurde.
Die verheerende Legacy der Lazarus Group in Krypto und US-Tech
Die Einführung von „Mach-O Man“ steht im Einklang mit den langfristigen Bemühungen der Lazarus Group, Cyberangriffe zum finanziellen Gewinn durchzuführen. Diese haben zu enormen Verlusten in der Krypto-Welt geführt, insbesondere für solche, die in den Vereinigten Staaten ansässig sind.
Diese Gruppe wurde als an einigen der größten Diebstähle in der Krypto-Geschichte beteiligt identifiziert, wie dem 625-Millionen-Dollar-Diebstahl vom Ronin Network (Axie Infinity), dem 1,5-Milliarden-Dollar-Diebstahl von Bybit, dem 308-Millionen-Dollar-Diebstahl von DMM Bitcoin, dem 292-Millionen-Dollar-Diebstahl von KelpDAO, dem 285-Millionen-Dollar-Diebstahl von Drift und 235 Millionen Dollar von WazirX.
Nordkoreas Hacker gehen nach Mac-Nutzern
Wie berichtet, nutzt dieser Angriff das Vertrauen der Mitarbeiter in ihre regelmäßigen Kommunikationswerkzeuge wie Zoom, Microsoft Teams und Google Meet aus. Dies hat die alltägliche Zusammenarbeit zu einem Kanal für Systemangriffe gemacht.
Der erste Schritt ist ein sorgfältig konstruierter Social-Engineering-Lockvogel über Telegram. Dieser lockt das Opfer – Entwickler, Führungskräfte und Entscheidungsträger im Fintech- und Kryptobereich – in eine dringende Meeting-Einladung eines kompromittierten Kollegenkontos.
Ein Klick auf den Link führt zu einer scheinbar authentischen Webseite, die eine Fehlermeldung simuliert, wenn versucht wird, sich mit Zoom, Teams oder Meet zu verbinden. Die Website bittet das Opfer dann, eine scheinbar harmlose Codezeile in das Terminal des Macs zu kopieren und einzufügen, um das Problem zu „lösen“.
Dadurch kann das Opfer macOS-Sicherheitsmechanismen wie Gatekeeper umgehen, da der Angriff vom Opfer selbst ausgeht.
Bei der Ausführung installiert der Code eine Binärdatei namens teamsSDK.bin.
Der Stager lädt das gefälschte macOS-App-Bundle herunter und signiert es digital mit dem nativen Codesign-Tool unter Verwendung einer ad-hoc-Signatur. Dann bittet er wiederholt das Opfer um sein Passwort und zeigt schlecht übersetzte Nachrichten an, die authentisch erscheinen.
Nach Abschluss des gefälschten Installationsprozesses beginnt der Stealer mit der Systemfingerprinting, Persistenzkonfiguration und Payload-Installation.
Im Gegensatz zu anderen Techniken, die komplexe Exploits beinhalten, tut dies diese nicht. Dies macht sie sehr effektiv bei wertvollen Zielen, die mehrere gleichzeitige Anrufe verwalten könnten, während sie Befehle kopieren, ohne sie zu überprüfen.
Inside der Mach-O Man Malware
Die „Mach-O Man“-Malware verwendet mehrere Stufen, jede mit Go-kompilierten Mach-O-Binärdarstellungen. Die Malware enthält ein Profiler-Modul, das Systeminformationen sammelt, einschließlich Hostname, UUID, CPU-Informationen, Netzwerkkonfiguration und laufender Prozesse
Sie verfügt über Erweiterungen für Chrome, Firefox, Safari, Brave, Opera und Vivaldi Browser. Die Informationen werden über einfache curl-POST-Anfragen an die Ports 8888 und 9999 an den Command-and-Control-Server übertragen.
Das persistente Modul minst2.bin legt eine LaunchAgent-plist-Datei (com.onedrive.launcher.plist) ab, die sicherstellt, dass die Malware bei jeder Anmeldung des Benutzers gestartet wird, indem sie sich als legitimer Prozess namens „OneDrive“ oder „Antivirus Service“ ausgibt.
Macrasv2, das letzte Payload, das für das Stehlen von Daten vom System verantwortlich ist, sammelt Informationen aus Browser-Anmeldedetails und Cookies in SQLite-Datenbanken sowie sensible Keychain-Einträge. Alle gesammelten Daten werden dann zippt und über die Telegram-Bot-API gesendet, deren Token an der Oberfläche offengelegt wurde.
Die verheerende Legacy der Lazarus Group in Krypto und US-Tech
Die Einführung von „Mach-O Man“ steht im Einklang mit den langfristigen Bemühungen der Lazarus Group, Cyberangriffe zum finanziellen Gewinn durchzuführen. Diese haben zu enormen Verlusten in der Krypto-Welt geführt, insbesondere für solche, die in den Vereinigten Staaten ansässig sind.
Diese Gruppe wurde als an einigen der größten Diebstähle in der Krypto-Geschichte beteiligt identifiziert, wie dem 625-Millionen-Dollar-Diebstahl vom Ronin Network (Axie Infinity), dem 1,5-Milliarden-Dollar-Diebstahl von Bybit, dem 308-Millionen-Dollar-Diebstahl von DMM Bitcoin, dem 292-Millionen-Dollar-Diebstahl von KelpDAO, dem 285-Millionen-Dollar-Diebstahl von Drift und 235 Millionen Dollar von WazirX.
Nordkoreas Hacker gehen nach Mac-Nutzern
Wie berichtet, nutzt dieser Angriff das Vertrauen der Mitarbeiter in ihre regelmäßigen Kommunikationswerkzeuge wie Zoom, Microsoft Teams und Google Meet aus. Dies hat die alltägliche Zusammenarbeit zu einem Kanal für Systemangriffe gemacht.
Der erste Schritt ist ein sorgfältig konstruierter Social-Engineering-Lockvogel über Telegram. Dieser lockt das Opfer – Entwickler, Führungskräfte und Entscheidungsträger im Fintech- und Kryptobereich – in eine dringende Meeting-Einladung eines kompromittierten Kollegenkontos.
Ein Klick auf den Link führt zu einer scheinbar authentischen Webseite, die eine Fehlermeldung simuliert, wenn versucht wird, sich mit Zoom, Teams oder Meet zu verbinden. Die Website bittet das Opfer dann, eine scheinbar harmlose Codezeile in das Terminal des Macs zu kopieren und einzufügen, um das Problem zu „lösen“.
Dadurch kann das Opfer macOS-Sicherheitsmechanismen wie Gatekeeper umgehen, da der Angriff vom Opfer selbst ausgeht.
Bei der Ausführung installiert der Code eine Binärdatei namens teamsSDK.bin.
Der Stager lädt das gefälschte macOS-App-Bundle herunter und signiert es digital mit dem nativen Codesign-Tool unter Verwendung einer ad-hoc-Signatur. Dann bittet er wiederholt das Opfer um sein Passwort und zeigt schlecht übersetzte Nachrichten an, die authentisch erscheinen.
Nach Abschluss des gefälschten Installationsprozesses beginnt der Stealer mit der Systemfingerprinting, Persistenzkonfiguration und Payload-Installation.
Im Gegensatz zu anderen Techniken, die komplexe Exploits beinhalten, tut dies diese nicht. Dies macht sie sehr effektiv bei wertvollen Zielen, die mehrere gleichzeitige Anrufe verwalten könnten, während sie Befehle kopieren, ohne sie zu überprüfen.
Inside der Mach-O Man Malware
Die „Mach-O Man“-Malware verwendet mehrere Stufen, jede mit Go-kompilierten Mach-O-Binärdarstellungen. Die Malware enthält ein Profiler-Modul, das Systeminformationen sammelt, einschließlich Hostname, UUID, CPU-Informationen, Netzwerkkonfiguration und laufender Prozesse
Sie verfügt über Erweiterungen für Chrome, Firefox, Safari, Brave, Opera und Vivaldi Browser. Die Informationen werden über einfache curl-POST-Anfragen an die Ports 8888 und 9999 an den Command-and-Control-Server übertragen.
Das persistente Modul minst2.bin legt eine LaunchAgent-plist-Datei (com.onedrive.launcher.plist) ab, die sicherstellt, dass die Malware bei jeder Anmeldung des Benutzers gestartet wird, indem sie sich als legitimer Prozess namens „OneDrive“ oder „Antivirus Service“ ausgibt.
Macrasv2, das letzte Payload, das für das Stehlen von Daten vom System verantwortlich ist, sammelt Informationen aus Browser-Anmeldedetails und Cookies in SQLite-Datenbanken sowie sensible Keychain-Einträge. Alle gesammelten Daten werden dann zippt und über die Telegram-Bot-API gesendet, deren Token an der Oberfläche offengelegt wurde.
Die verheerende Legacy der Lazarus Group in Krypto und US-Tech
Die Einführung von „Mach-O Man“ steht im Einklang mit den langfristigen Bemühungen der Lazarus Group, Cyberangriffe zum finanziellen Gewinn durchzuführen. Diese haben zu enormen Verlusten in der Krypto-Welt geführt, insbesondere für solche, die in den Vereinigten Staaten ansässig sind.
Diese Gruppe wurde als an einigen der größten Diebstähle in der Krypto-Geschichte beteiligt identifiziert, wie dem 625-Millionen-Dollar-Diebstahl vom Ronin Network (Axie Infinity), dem 1,5-Milliarden-Dollar-Diebstahl von Bybit, dem 308-Millionen-Dollar-Diebstahl von DMM Bitcoin, dem 292-Millionen-Dollar-Diebstahl von KelpDAO, dem 285-Millionen-Dollar-Diebstahl von Drift und 235 Millionen Dollar von WazirX.
Nordkoreas Lazarus Group hat fortschrittliche Malware gestartet, die macOS-Geräte zielt. Mach-O Man, wie es genannt wird, ist darauf ausgelegt, gegen Krypto-Unternehmen, Fintech-Organisationen und wichtige Führungskräfte vorzugehen, die Macs für Finanztransaktionen nutzen.
Der Angriff wurde Mitte April 2026 erstmals identifiziert. Er nutzt beliebte Workplace-Apps wie Zoom, Microsoft Teams und Google Meet, um Social-Engineering-Angriffe zu starten.
Nordkoreas Hacker gehen nach Mac-Nutzern
Wie berichtet, nutzt dieser Angriff das Vertrauen der Mitarbeiter in ihre regelmäßigen Kommunikationswerkzeuge wie Zoom, Microsoft Teams und Google Meet aus. Dies hat die alltägliche Zusammenarbeit zu einem Kanal für Systemangriffe gemacht.
Der erste Schritt ist ein sorgfältig konstruierter Social-Engineering-Lockvogel über Telegram. Dieser lockt das Opfer – Entwickler, Führungskräfte und Entscheidungsträger im Fintech- und Kryptobereich – in eine dringende Meeting-Einladung eines kompromittierten Kollegenkontos.
Ein Klick auf den Link führt zu einer scheinbar authentischen Webseite, die eine Fehlermeldung simuliert, wenn versucht wird, sich mit Zoom, Teams oder Meet zu verbinden. Die Website bittet das Opfer dann, eine scheinbar harmlose Codezeile in das Terminal des Macs zu kopieren und einzufügen, um das Problem zu „lösen“.
Dadurch kann das Opfer macOS-Sicherheitsmechanismen wie Gatekeeper umgehen, da der Angriff vom Opfer selbst ausgeht.
Bei der Ausführung installiert der Code eine Binärdatei namens teamsSDK.bin.
Der Stager lädt das gefälschte macOS-App-Bundle herunter und signiert es digital mit dem nativen Codesign-Tool unter Verwendung einer ad-hoc-Signatur. Dann bittet er wiederholt das Opfer um sein Passwort und zeigt schlecht übersetzte Nachrichten an, die authentisch erscheinen.
Nach Abschluss des gefälschten Installationsprozesses beginnt der Stealer mit der Systemfingerprinting, Persistenzkonfiguration und Payload-Installation.
Im Gegensatz zu anderen Techniken, die komplexe Exploits beinhalten, tut dies diese nicht. Dies macht sie sehr effektiv bei wertvollen Zielen, die mehrere gleichzeitige Anrufe verwalten könnten, während sie Befehle kopieren, ohne sie zu überprüfen.
Inside der Mach-O Man Malware
Die „Mach-O Man“-Malware verwendet mehrere Stufen, jede mit Go-kompilierten Mach-O-Binärdarstellungen. Die Malware enthält ein Profiler-Modul, das Systeminformationen sammelt, einschließlich Hostname, UUID, CPU-Informationen, Netzwerkkonfiguration und laufender Prozesse
Sie verfügt über Erweiterungen für Chrome, Firefox, Safari, Brave, Opera und Vivaldi Browser. Die Informationen werden über einfache curl-POST-Anfragen an die Ports 8888 und 9999 an den Command-and-Control-Server übertragen.
Das persistente Modul minst2.bin legt eine LaunchAgent-plist-Datei (com.onedrive.launcher.plist) ab, die sicherstellt, dass die Malware bei jeder Anmeldung des Benutzers gestartet wird, indem sie sich als legitimer Prozess namens „OneDrive“ oder „Antivirus Service“ ausgibt.
Macrasv2, das letzte Payload, das für das Stehlen von Daten vom System verantwortlich ist, sammelt Informationen aus Browser-Anmeldedetails und Cookies in SQLite-Datenbanken sowie sensible Keychain-Einträge. Alle gesammelten Daten werden dann zippt und über die Telegram-Bot-API gesendet, deren Token an der Oberfläche offengelegt wurde.
Die verheerende Legacy der Lazarus Group in Krypto und US-Tech
Die Einführung von „Mach-O Man“ steht im Einklang mit den langfristigen Bemühungen der Lazarus Group, Cyberangriffe zum finanziellen Gewinn durchzuführen. Diese haben zu enormen Verlusten in der Krypto-Welt geführt, insbesondere für solche, die in den Vereinigten Staaten ansässig sind.
Diese Gruppe wurde als an einigen der größten Diebstähle in der Krypto-Geschichte beteiligt identifiziert, wie dem 625-Millionen-Dollar-Diebstahl vom Ronin Network (Axie Infinity), dem 1,5-Milliarden-Dollar-Diebstahl von Bybit, dem 308-Millionen-Dollar-Diebstahl von DMM Bitcoin, dem 292-Millionen-Dollar-Diebstahl von KelpDAO, dem 285-Millionen-Dollar-Diebstahl von Drift und 235 Millionen Dollar von WazirX.
Nordkoreas Lazarus Group hat fortschrittliche Malware gestartet, die macOS-Geräte zielt. Mach-O Man, wie es genannt wird, ist darauf ausgelegt, gegen Krypto-Unternehmen, Fintech-Organisationen und wichtige Führungskräfte vorzugehen, die Macs für Finanztransaktionen nutzen.
Der Angriff wurde Mitte April 2026 erstmals identifiziert. Er nutzt beliebte Workplace-Apps wie Zoom, Microsoft Teams und Google Meet, um Social-Engineering-Angriffe zu starten.
Nordkoreas Hacker gehen nach Mac-Nutzern
Wie berichtet, nutzt dieser Angriff das Vertrauen der Mitarbeiter in ihre regelmäßigen Kommunikationswerkzeuge wie Zoom, Microsoft Teams und Google Meet aus. Dies hat die alltägliche Zusammenarbeit zu einem Kanal für Systemangriffe gemacht.
Der erste Schritt ist ein sorgfältig konstruierter Social-Engineering-Lockvogel über Telegram. Dieser lockt das Opfer – Entwickler, Führungskräfte und Entscheidungsträger im Fintech- und Kryptobereich – in eine dringende Meeting-Einladung eines kompromittierten Kollegenkontos.
Ein Klick auf den Link führt zu einer scheinbar authentischen Webseite, die eine Fehlermeldung simuliert, wenn versucht wird, sich mit Zoom, Teams oder Meet zu verbinden. Die Website bittet das Opfer dann, eine scheinbar harmlose Codezeile in das Terminal des Macs zu kopieren und einzufügen, um das Problem zu „lösen“.
Dadurch kann das Opfer macOS-Sicherheitsmechanismen wie Gatekeeper umgehen, da der Angriff vom Opfer selbst ausgeht.
Bei der Ausführung installiert der Code eine Binärdatei namens teamsSDK.bin.
Der Stager lädt das gefälschte macOS-App-Bundle herunter und signiert es digital mit dem nativen Codesign-Tool unter Verwendung einer ad-hoc-Signatur. Dann bittet er wiederholt das Opfer um sein Passwort und zeigt schlecht übersetzte Nachrichten an, die authentisch erscheinen.
Nach Abschluss des gefälschten Installationsprozesses beginnt der Stealer mit der Systemfingerprinting, Persistenzkonfiguration und Payload-Installation.
Im Gegensatz zu anderen Techniken, die komplexe Exploits beinhalten, tut dies diese nicht. Dies macht sie sehr effektiv bei wertvollen Zielen, die mehrere gleichzeitige Anrufe verwalten könnten, während sie Befehle kopieren, ohne sie zu überprüfen.
Inside der Mach-O Man Malware
Die „Mach-O Man“-Malware verwendet mehrere Stufen, jede mit Go-kompilierten Mach-O-Binärdarstellungen. Die Malware enthält ein Profiler-Modul, das Systeminformationen sammelt, einschließlich Hostname, UUID, CPU-Informationen, Netzwerkkonfiguration und laufender Prozesse
Sie verfügt über Erweiterungen für Chrome, Firefox, Safari, Brave, Opera und Vivaldi Browser. Die Informationen werden über einfache curl-POST-Anfragen an die Ports 8888 und 9999 an den Command-and-Control-Server übertragen.
Das persistente Modul minst2.bin legt eine LaunchAgent-plist-Datei (com.onedrive.launcher.plist) ab, die sicherstellt, dass die Malware bei jeder Anmeldung des Benutzers gestartet wird, indem sie sich als legitimer Prozess namens „OneDrive“ oder „Antivirus Service“ ausgibt.
Macrasv2, das letzte Payload, das für das Stehlen von Daten vom System verantwortlich ist, sammelt Informationen aus Browser-Anmeldedetails und Cookies in SQLite-Datenbanken sowie sensible Keychain-Einträge. Alle gesammelten Daten werden dann zippt und über die Telegram-Bot-API gesendet, deren Token an der Oberfläche offengelegt wurde.
Die verheerende Legacy der Lazarus Group in Krypto und US-Tech
Die Einführung von „Mach-O Man“ steht im Einklang mit den langfristigen Bemühungen der Lazarus Group, Cyberangriffe zum finanziellen Gewinn durchzuführen. Diese haben zu enormen Verlusten in der Krypto-Welt geführt, insbesondere für solche, die in den Vereinigten Staaten ansässig sind.
Diese Gruppe wurde als an einigen der größten Diebstähle in der Krypto-Geschichte beteiligt identifiziert, wie dem 625-Millionen-Dollar-Diebstahl vom Ronin Network (Axie Infinity), dem 1,5-Milliarden-Dollar-Diebstahl von Bybit, dem 308-Millionen-Dollar-Diebstahl von DMM Bitcoin, dem 292-Millionen-Dollar-Diebstahl von KelpDAO, dem 285-Millionen-Dollar-Diebstahl von Drift und 235 Millionen Dollar von WazirX.
Wenn Sie dies lesen, sind Sie bereits einen Schritt voraus. Bleiben Sie mit unserem Newsletter auf dem Laufenden.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
Florence Muchai
Florence berichtet seit sechs Jahren über Kryptowährungen, Gaming, Technologie und KI. Ihr Studium der Computerwissenschaften an der Meru University of Science and Technology sowie ihr Studium im Bereich Katastrophenmanagement und internationale Diplomatie an der MMUST haben sie umfassend mit Sprach-, Beobachtungs- und technischen Fähigkeiten ausgestattet. Florence war bei der VAP Group tätig und arbeitete als Redakteurin für mehrere Krypto-Medienhäuser.
