El Grupo Lazarus de Corea del Norte ataca a criptomonedas y ejecutivos de alto valor con el kit de malware 'Mach-O Man' para macOS
- El grupo Lazarus de Corea del Norte ha lanzado "Mach-O Man", un sofisticado kit de malware dirigido a usuarios de macOS en los sectores de criptomonedas y finanzas tecnológicas.
- El malware roba credenciales del navegador, cookies, datos del llavero e información del sistema.
- Esta tecnología amplía el alcance del grupo Lazarus hacia ejecutivos de alto nivel y desarrolladores que manejan billeteras y claves críticas en dispositivos Apple.
El módulo persistente minst2.bin descarga un archivo plist de LaunchAgent (com.onedrive.launcher.plist), lo que asegura que el malware se lance cada vez que el usuario inicia sesión fingiendo ser un proceso legítimo llamado "OneDrive" o "Servicio Antivirus".
Macrasv2, la última carga útil responsable de robar datos del sistema, recopila información de los detalles de inicio de sesión de los navegadores y las cookies encontradas en bases de datos SQLite, así como entradas sensibles del Llavero. Todos los datos recopilados se comprimen y envían a través de la API del bot de Telegram, cuyo token fue expuesto en la superficie.
El legado devastador del Grupo Lazarus en criptomonedas y tecnología de EE. UU.
El lanzamiento de "Mach-O Man" está en línea con los esfuerzos a largo plazo del Grupo Lazarus para llevar a cabo ciberataques con fines de lucro. Han resultado en enormes pérdidas para el mundo cripto, especialmente aquellas basadas en Estados Unidos.
Este grupo ha sido identificado como involucrado en algunos de los mayores robos en la historia de las criptomonedas, como el robo de 625 millones de dólares de la Red Ronin (Axie Infinity), el robo de 1.500 millones de dólares de Bybit, el robo de 308 millones de dólares de DMM Bitcoin, el robo de 292 millones de dólares de KelpDAO, el robo de 285 millones de dólares de Drift y 235 millones de dólares de WazirX.
El malware "Mach-O Man" utiliza múltiples etapas, cada una con binarios Mach-O compilados en Go. El malware contiene un módulo de perfilador que recopila información del sistema, incluido el nombre de host, UUID, información de la CPU, configuración de red y procesos en ejecución
Tiene extensiones para los navegadores Chrome, Firefox, Safari, Brave, Opera y Vivaldi. La información se transmite al servidor de comando y control mediante solicitudes POST curl simples en los puertos 8888 y 9999.
El módulo persistente minst2.bin descarga un archivo plist de LaunchAgent (com.onedrive.launcher.plist), lo que asegura que el malware se lance cada vez que el usuario inicia sesión fingiendo ser un proceso legítimo llamado "OneDrive" o "Servicio Antivirus".
Macrasv2, la última carga útil responsable de robar datos del sistema, recopila información de los detalles de inicio de sesión de los navegadores y las cookies encontradas en bases de datos SQLite, así como entradas sensibles del Llavero. Todos los datos recopilados se comprimen y envían a través de la API del bot de Telegram, cuyo token fue expuesto en la superficie.
El legado devastador del Grupo Lazarus en criptomonedas y tecnología de EE. UU.
El lanzamiento de "Mach-O Man" está en línea con los esfuerzos a largo plazo del Grupo Lazarus para llevar a cabo ciberataques con fines de lucro. Han resultado en enormes pérdidas para el mundo cripto, especialmente aquellas basadas en Estados Unidos.
Este grupo ha sido identificado como involucrado en algunos de los mayores robos en la historia de las criptomonedas, como el robo de 625 millones de dólares de la Red Ronin (Axie Infinity), el robo de 1.500 millones de dólares de Bybit, el robo de 308 millones de dólares de DMM Bitcoin, el robo de 292 millones de dólares de KelpDAO, el robo de 285 millones de dólares de Drift y 235 millones de dólares de WazirX.
El malware "Mach-O Man" utiliza múltiples etapas, cada una con binarios Mach-O compilados en Go. El malware contiene un módulo de perfilador que recopila información del sistema, incluido el nombre de host, UUID, información de la CPU, configuración de red y procesos en ejecución
Tiene extensiones para los navegadores Chrome, Firefox, Safari, Brave, Opera y Vivaldi. La información se transmite al servidor de comando y control mediante solicitudes POST curl simples en los puertos 8888 y 9999.
El módulo persistente minst2.bin descarga un archivo plist de LaunchAgent (com.onedrive.launcher.plist), lo que asegura que el malware se lance cada vez que el usuario inicia sesión fingiendo ser un proceso legítimo llamado "OneDrive" o "Servicio Antivirus".
Macrasv2, la última carga útil responsable de robar datos del sistema, recopila información de los detalles de inicio de sesión de los navegadores y las cookies encontradas en bases de datos SQLite, así como entradas sensibles del Llavero. Todos los datos recopilados se comprimen y envían a través de la API del bot de Telegram, cuyo token fue expuesto en la superficie.
El legado devastador del Grupo Lazarus en criptomonedas y tecnología de EE. UU.
El lanzamiento de "Mach-O Man" está en línea con los esfuerzos a largo plazo del Grupo Lazarus para llevar a cabo ciberataques con fines de lucro. Han resultado en enormes pérdidas para el mundo cripto, especialmente aquellas basadas en Estados Unidos.
Este grupo ha sido identificado como involucrado en algunos de los mayores robos en la historia de las criptomonedas, como el robo de 625 millones de dólares de la Red Ronin (Axie Infinity), el robo de 1.500 millones de dólares de Bybit, el robo de 308 millones de dólares de DMM Bitcoin, el robo de 292 millones de dólares de KelpDAO, el robo de 285 millones de dólares de Drift y 235 millones de dólares de WazirX.
Después de completar el proceso de instalación falso, el ladrón comienza la huella digital del sistema, la configuración de persistencia y la instalación de la carga útil.
A diferencia de otras técnicas que implican exploits complejos, esta no lo hace. Esto la hace muy efectiva en objetivos valiosos que podrían estar gestionando varias llamadas simultáneas mientras copian comandos sin verificarlos.
Dentro del malware Mach-O Man
El malware "Mach-O Man" utiliza múltiples etapas, cada una con binarios Mach-O compilados en Go. El malware contiene un módulo de perfilador que recopila información del sistema, incluido el nombre de host, UUID, información de la CPU, configuración de red y procesos en ejecución
Tiene extensiones para los navegadores Chrome, Firefox, Safari, Brave, Opera y Vivaldi. La información se transmite al servidor de comando y control mediante solicitudes POST curl simples en los puertos 8888 y 9999.
El módulo persistente minst2.bin descarga un archivo plist de LaunchAgent (com.onedrive.launcher.plist), lo que asegura que el malware se lance cada vez que el usuario inicia sesión fingiendo ser un proceso legítimo llamado "OneDrive" o "Servicio Antivirus".
Macrasv2, la última carga útil responsable de robar datos del sistema, recopila información de los detalles de inicio de sesión de los navegadores y las cookies encontradas en bases de datos SQLite, así como entradas sensibles del Llavero. Todos los datos recopilados se comprimen y envían a través de la API del bot de Telegram, cuyo token fue expuesto en la superficie.
El legado devastador del Grupo Lazarus en criptomonedas y tecnología de EE. UU.
El lanzamiento de "Mach-O Man" está en línea con los esfuerzos a largo plazo del Grupo Lazarus para llevar a cabo ciberataques con fines de lucro. Han resultado en enormes pérdidas para el mundo cripto, especialmente aquellas basadas en Estados Unidos.
Este grupo ha sido identificado como involucrado en algunos de los mayores robos en la historia de las criptomonedas, como el robo de 625 millones de dólares de la Red Ronin (Axie Infinity), el robo de 1.500 millones de dólares de Bybit, el robo de 308 millones de dólares de DMM Bitcoin, el robo de 292 millones de dólares de KelpDAO, el robo de 285 millones de dólares de Drift y 235 millones de dólares de WazirX.
Después de completar el proceso de instalación falso, el ladrón comienza la huella digital del sistema, la configuración de persistencia y la instalación de la carga útil.
A diferencia de otras técnicas que implican exploits complejos, esta no lo hace. Esto la hace muy efectiva en objetivos valiosos que podrían estar gestionando varias llamadas simultáneas mientras copian comandos sin verificarlos.
Dentro del malware Mach-O Man
El malware "Mach-O Man" utiliza múltiples etapas, cada una con binarios Mach-O compilados en Go. El malware contiene un módulo de perfilador que recopila información del sistema, incluido el nombre de host, UUID, información de la CPU, configuración de red y procesos en ejecución
Tiene extensiones para los navegadores Chrome, Firefox, Safari, Brave, Opera y Vivaldi. La información se transmite al servidor de comando y control mediante solicitudes POST curl simples en los puertos 8888 y 9999.
El módulo persistente minst2.bin descarga un archivo plist de LaunchAgent (com.onedrive.launcher.plist), lo que asegura que el malware se lance cada vez que el usuario inicia sesión fingiendo ser un proceso legítimo llamado "OneDrive" o "Servicio Antivirus".
Macrasv2, la última carga útil responsable de robar datos del sistema, recopila información de los detalles de inicio de sesión de los navegadores y las cookies encontradas en bases de datos SQLite, así como entradas sensibles del Llavero. Todos los datos recopilados se comprimen y envían a través de la API del bot de Telegram, cuyo token fue expuesto en la superficie.
El legado devastador del Grupo Lazarus en criptomonedas y tecnología de EE. UU.
El lanzamiento de "Mach-O Man" está en línea con los esfuerzos a largo plazo del Grupo Lazarus para llevar a cabo ciberataques con fines de lucro. Han resultado en enormes pérdidas para el mundo cripto, especialmente aquellas basadas en Estados Unidos.
Este grupo ha sido identificado como involucrado en algunos de los mayores robos en la historia de las criptomonedas, como el robo de 625 millones de dólares de la Red Ronin (Axie Infinity), el robo de 1.500 millones de dólares de Bybit, el robo de 308 millones de dólares de DMM Bitcoin, el robo de 292 millones de dólares de KelpDAO, el robo de 285 millones de dólares de Drift y 235 millones de dólares de WazirX.
Después de completar el proceso de instalación falso, el ladrón comienza la huella digital del sistema, la configuración de persistencia y la instalación de la carga útil.
A diferencia de otras técnicas que implican exploits complejos, esta no lo hace. Esto la hace muy efectiva en objetivos valiosos que podrían estar gestionando varias llamadas simultáneas mientras copian comandos sin verificarlos.
Dentro del malware Mach-O Man
El malware "Mach-O Man" utiliza múltiples etapas, cada una con binarios Mach-O compilados en Go. El malware contiene un módulo de perfilador que recopila información del sistema, incluido el nombre de host, UUID, información de la CPU, configuración de red y procesos en ejecución
Tiene extensiones para los navegadores Chrome, Firefox, Safari, Brave, Opera y Vivaldi. La información se transmite al servidor de comando y control mediante solicitudes POST curl simples en los puertos 8888 y 9999.
El módulo persistente minst2.bin descarga un archivo plist de LaunchAgent (com.onedrive.launcher.plist), lo que asegura que el malware se lance cada vez que el usuario inicia sesión fingiendo ser un proceso legítimo llamado "OneDrive" o "Servicio Antivirus".
Macrasv2, la última carga útil responsable de robar datos del sistema, recopila información de los detalles de inicio de sesión de los navegadores y las cookies encontradas en bases de datos SQLite, así como entradas sensibles del Llavero. Todos los datos recopilados se comprimen y envían a través de la API del bot de Telegram, cuyo token fue expuesto en la superficie.
El legado devastador del Grupo Lazarus en criptomonedas y tecnología de EE. UU.
El lanzamiento de "Mach-O Man" está en línea con los esfuerzos a largo plazo del Grupo Lazarus para llevar a cabo ciberataques con fines de lucro. Han resultado en enormes pérdidas para el mundo cripto, especialmente aquellas basadas en Estados Unidos.
Este grupo ha sido identificado como involucrado en algunos de los mayores robos en la historia de las criptomonedas, como el robo de 625 millones de dólares de la Red Ronin (Axie Infinity), el robo de 1.500 millones de dólares de Bybit, el robo de 308 millones de dólares de DMM Bitcoin, el robo de 292 millones de dólares de KelpDAO, el robo de 285 millones de dólares de Drift y 235 millones de dólares de WazirX.
Hacer clic en el enlace lleva a una página web aparentemente auténtica que simula un mensaje de error al intentar conectarse a Zoom, Teams o Meet. El sitio web luego le pide a la víctima que copie y pegue una línea de código aparentemente inofensiva en la Terminal de Mac para "resolver" el problema.
Al hacerlo, la víctima puede eludir los mecanismos de seguridad de macOS, como Gatekeeper, ya que el ataque se origina desde la propia víctima.
Al ejecutarse, el código instala un binario llamado teamsSDK.bin.
El stager descarga el paquete de la aplicación falsa de macOS y lo firma digitalmente con la herramienta codesign nativa utilizando una firma ad hoc. Luego pregunta repetidamente a la víctima por su contraseña, mostrando mensajes mal traducidos que parecen auténticos.
Después de completar el proceso de instalación falso, el ladrón comienza la huella digital del sistema, la configuración de persistencia y la instalación de la carga útil.
A diferencia de otras técnicas que implican exploits complejos, esta no lo hace. Esto la hace muy efectiva en objetivos valiosos que podrían estar gestionando varias llamadas simultáneas mientras copian comandos sin verificarlos.
Dentro del malware Mach-O Man
El malware "Mach-O Man" utiliza múltiples etapas, cada una con binarios Mach-O compilados en Go. El malware contiene un módulo de perfilador que recopila información del sistema, incluido el nombre de host, UUID, información de la CPU, configuración de red y procesos en ejecución
Tiene extensiones para los navegadores Chrome, Firefox, Safari, Brave, Opera y Vivaldi. La información se transmite al servidor de comando y control mediante solicitudes POST curl simples en los puertos 8888 y 9999.
El módulo persistente minst2.bin descarga un archivo plist de LaunchAgent (com.onedrive.launcher.plist), lo que asegura que el malware se lance cada vez que el usuario inicia sesión fingiendo ser un proceso legítimo llamado "OneDrive" o "Servicio Antivirus".
Macrasv2, la última carga útil responsable de robar datos del sistema, recopila información de los detalles de inicio de sesión de los navegadores y las cookies encontradas en bases de datos SQLite, así como entradas sensibles del Llavero. Todos los datos recopilados se comprimen y envían a través de la API del bot de Telegram, cuyo token fue expuesto en la superficie.
El legado devastador del Grupo Lazarus en criptomonedas y tecnología de EE. UU.
El lanzamiento de "Mach-O Man" está en línea con los esfuerzos a largo plazo del Grupo Lazarus para llevar a cabo ciberataques con fines de lucro. Han resultado en enormes pérdidas para el mundo cripto, especialmente aquellas basadas en Estados Unidos.
Este grupo ha sido identificado como involucrado en algunos de los mayores robos en la historia de las criptomonedas, como el robo de 625 millones de dólares de la Red Ronin (Axie Infinity), el robo de 1.500 millones de dólares de Bybit, el robo de 308 millones de dólares de DMM Bitcoin, el robo de 292 millones de dólares de KelpDAO, el robo de 285 millones de dólares de Drift y 235 millones de dólares de WazirX.
Hacer clic en el enlace lleva a una página web aparentemente auténtica que simula un mensaje de error al intentar conectarse a Zoom, Teams o Meet. El sitio web luego le pide a la víctima que copie y pegue una línea de código aparentemente inofensiva en la Terminal de Mac para "resolver" el problema.
Al hacerlo, la víctima puede eludir los mecanismos de seguridad de macOS, como Gatekeeper, ya que el ataque se origina desde la propia víctima.
Al ejecutarse, el código instala un binario llamado teamsSDK.bin.
El stager descarga el paquete de la aplicación falsa de macOS y lo firma digitalmente con la herramienta codesign nativa utilizando una firma ad hoc. Luego pregunta repetidamente a la víctima por su contraseña, mostrando mensajes mal traducidos que parecen auténticos.
Después de completar el proceso de instalación falso, el ladrón comienza la huella digital del sistema, la configuración de persistencia y la instalación de la carga útil.
A diferencia de otras técnicas que implican exploits complejos, esta no lo hace. Esto la hace muy efectiva en objetivos valiosos que podrían estar gestionando varias llamadas simultáneas mientras copian comandos sin verificarlos.
Dentro del malware Mach-O Man
El malware "Mach-O Man" utiliza múltiples etapas, cada una con binarios Mach-O compilados en Go. El malware contiene un módulo de perfilador que recopila información del sistema, incluido el nombre de host, UUID, información de la CPU, configuración de red y procesos en ejecución
Tiene extensiones para los navegadores Chrome, Firefox, Safari, Brave, Opera y Vivaldi. La información se transmite al servidor de comando y control mediante solicitudes POST curl simples en los puertos 8888 y 9999.
El módulo persistente minst2.bin descarga un archivo plist de LaunchAgent (com.onedrive.launcher.plist), lo que asegura que el malware se lance cada vez que el usuario inicia sesión fingiendo ser un proceso legítimo llamado "OneDrive" o "Servicio Antivirus".
Macrasv2, la última carga útil responsable de robar datos del sistema, recopila información de los detalles de inicio de sesión de los navegadores y las cookies encontradas en bases de datos SQLite, así como entradas sensibles del Llavero. Todos los datos recopilados se comprimen y envían a través de la API del bot de Telegram, cuyo token fue expuesto en la superficie.
El legado devastador del Grupo Lazarus en criptomonedas y tecnología de EE. UU.
El lanzamiento de "Mach-O Man" está en línea con los esfuerzos a largo plazo del Grupo Lazarus para llevar a cabo ciberataques con fines de lucro. Han resultado en enormes pérdidas para el mundo cripto, especialmente aquellas basadas en Estados Unidos.
Este grupo ha sido identificado como involucrado en algunos de los mayores robos en la historia de las criptomonedas, como el robo de 625 millones de dólares de la Red Ronin (Axie Infinity), el robo de 1.500 millones de dólares de Bybit, el robo de 308 millones de dólares de DMM Bitcoin, el robo de 292 millones de dólares de KelpDAO, el robo de 285 millones de dólares de Drift y 235 millones de dólares de WazirX.
Los hackers de Corea del Norte se dirigen a los usuarios de Mac
Como se ha informado, este ataque aprovecha la confianza que los empleados depositan en sus herramientas de comunicación habituales, como Zoom, Microsoft Teams y Google Meet. Esto ha convertido la colaboración cotidiana en una vía para ataques a nivel del sistema.
El primer paso es un señuelo de ingeniería social cuidadosamente elaborado a través de Telegram. Este señuelo atrae a la víctima – desarrolladores, ejecutivos y tomadores de decisiones en el espacio fintech y cripto – a una invitación de reunión urgente por parte de la cuenta de un colega comprometida.
Hacer clic en el enlace lleva a una página web aparentemente auténtica que simula un mensaje de error al intentar conectarse a Zoom, Teams o Meet. El sitio web luego le pide a la víctima que copie y pegue una línea de código aparentemente inofensiva en la Terminal de Mac para "resolver" el problema.
Al hacerlo, la víctima puede eludir los mecanismos de seguridad de macOS, como Gatekeeper, ya que el ataque se origina desde la propia víctima.
Al ejecutarse, el código instala un binario llamado teamsSDK.bin.
El stager descarga el paquete de la aplicación falsa de macOS y lo firma digitalmente con la herramienta codesign nativa utilizando una firma ad hoc. Luego pregunta repetidamente a la víctima por su contraseña, mostrando mensajes mal traducidos que parecen auténticos.
Después de completar el proceso de instalación falso, el ladrón comienza la huella digital del sistema, la configuración de persistencia y la instalación de la carga útil.
A diferencia de otras técnicas que implican exploits complejos, esta no lo hace. Esto la hace muy efectiva en objetivos valiosos que podrían estar gestionando varias llamadas simultáneas mientras copian comandos sin verificarlos.
Dentro del malware Mach-O Man
El malware "Mach-O Man" utiliza múltiples etapas, cada una con binarios Mach-O compilados en Go. El malware contiene un módulo de perfilador que recopila información del sistema, incluido el nombre de host, UUID, información de la CPU, configuración de red y procesos en ejecución
Tiene extensiones para los navegadores Chrome, Firefox, Safari, Brave, Opera y Vivaldi. La información se transmite al servidor de comando y control mediante solicitudes POST curl simples en los puertos 8888 y 9999.
El módulo persistente minst2.bin descarga un archivo plist de LaunchAgent (com.onedrive.launcher.plist), lo que asegura que el malware se lance cada vez que el usuario inicia sesión fingiendo ser un proceso legítimo llamado "OneDrive" o "Servicio Antivirus".
Macrasv2, la última carga útil responsable de robar datos del sistema, recopila información de los detalles de inicio de sesión de los navegadores y las cookies encontradas en bases de datos SQLite, así como entradas sensibles del Llavero. Todos los datos recopilados se comprimen y envían a través de la API del bot de Telegram, cuyo token fue expuesto en la superficie.
El legado devastador del Grupo Lazarus en criptomonedas y tecnología de EE. UU.
El lanzamiento de "Mach-O Man" está en línea con los esfuerzos a largo plazo del Grupo Lazarus para llevar a cabo ciberataques con fines de lucro. Han resultado en enormes pérdidas para el mundo cripto, especialmente aquellas basadas en Estados Unidos.
Este grupo ha sido identificado como involucrado en algunos de los mayores robos en la historia de las criptomonedas, como el robo de 625 millones de dólares de la Red Ronin (Axie Infinity), el robo de 1.500 millones de dólares de Bybit, el robo de 308 millones de dólares de DMM Bitcoin, el robo de 292 millones de dólares de KelpDAO, el robo de 285 millones de dólares de Drift y 235 millones de dólares de WazirX.
Los hackers de Corea del Norte se dirigen a los usuarios de Mac
Como se ha informado, este ataque aprovecha la confianza que los empleados depositan en sus herramientas de comunicación habituales, como Zoom, Microsoft Teams y Google Meet. Esto ha convertido la colaboración cotidiana en una vía para ataques a nivel del sistema.
El primer paso es un señuelo de ingeniería social cuidadosamente elaborado a través de Telegram. Este señuelo atrae a la víctima – desarrolladores, ejecutivos y tomadores de decisiones en el espacio fintech y cripto – a una invitación de reunión urgente por parte de la cuenta de un colega comprometida.
Hacer clic en el enlace lleva a una página web aparentemente auténtica que simula un mensaje de error al intentar conectarse a Zoom, Teams o Meet. El sitio web luego le pide a la víctima que copie y pegue una línea de código aparentemente inofensiva en la Terminal de Mac para "resolver" el problema.
Al hacerlo, la víctima puede eludir los mecanismos de seguridad de macOS, como Gatekeeper, ya que el ataque se origina desde la propia víctima.
Al ejecutarse, el código instala un binario llamado teamsSDK.bin.
El stager descarga el paquete de la aplicación falsa de macOS y lo firma digitalmente con la herramienta codesign nativa utilizando una firma ad hoc. Luego pregunta repetidamente a la víctima por su contraseña, mostrando mensajes mal traducidos que parecen auténticos.
Después de completar el proceso de instalación falso, el ladrón comienza la huella digital del sistema, la configuración de persistencia y la instalación de la carga útil.
A diferencia de otras técnicas que implican exploits complejos, esta no lo hace. Esto la hace muy efectiva en objetivos valiosos que podrían estar gestionando varias llamadas simultáneas mientras copian comandos sin verificarlos.
Dentro del malware Mach-O Man
El malware "Mach-O Man" utiliza múltiples etapas, cada una con binarios Mach-O compilados en Go. El malware contiene un módulo de perfilador que recopila información del sistema, incluido el nombre de host, UUID, información de la CPU, configuración de red y procesos en ejecución
Tiene extensiones para los navegadores Chrome, Firefox, Safari, Brave, Opera y Vivaldi. La información se transmite al servidor de comando y control mediante solicitudes POST curl simples en los puertos 8888 y 9999.
El módulo persistente minst2.bin descarga un archivo plist de LaunchAgent (com.onedrive.launcher.plist), lo que asegura que el malware se lance cada vez que el usuario inicia sesión fingiendo ser un proceso legítimo llamado "OneDrive" o "Servicio Antivirus".
Macrasv2, la última carga útil responsable de robar datos del sistema, recopila información de los detalles de inicio de sesión de los navegadores y las cookies encontradas en bases de datos SQLite, así como entradas sensibles del Llavero. Todos los datos recopilados se comprimen y envían a través de la API del bot de Telegram, cuyo token fue expuesto en la superficie.
El legado devastador del Grupo Lazarus en criptomonedas y tecnología de EE. UU.
El lanzamiento de "Mach-O Man" está en línea con los esfuerzos a largo plazo del Grupo Lazarus para llevar a cabo ciberataques con fines de lucro. Han resultado en enormes pérdidas para el mundo cripto, especialmente aquellas basadas en Estados Unidos.
Este grupo ha sido identificado como involucrado en algunos de los mayores robos en la historia de las criptomonedas, como el robo de 625 millones de dólares de la Red Ronin (Axie Infinity), el robo de 1.500 millones de dólares de Bybit, el robo de 308 millones de dólares de DMM Bitcoin, el robo de 292 millones de dólares de KelpDAO, el robo de 285 millones de dólares de Drift y 235 millones de dólares de WazirX.
El Grupo Lazarus de Corea del Norte ha lanzado un malware avanzado dirigido a dispositivos macOS. Mach-O Man, como se le llama, está diseñado para atacar a empresas de criptomonedas, organizaciones fintech y altos ejecutivos que utilizan Macs para transacciones financieras.
El ataque fue identificado por primera vez a mediados de abril de 2026. Utiliza aplicaciones populares de entornos laborales, como Zoom, Microsoft Teams y Google Meet, para lanzar ataques de ingeniería social.
Los hackers de Corea del Norte se dirigen a los usuarios de Mac
Como se ha informado, este ataque aprovecha la confianza que los empleados depositan en sus herramientas de comunicación habituales, como Zoom, Microsoft Teams y Google Meet. Esto ha convertido la colaboración cotidiana en una vía para ataques a nivel del sistema.
El primer paso es un señuelo de ingeniería social cuidadosamente elaborado a través de Telegram. Este señuelo atrae a la víctima – desarrolladores, ejecutivos y tomadores de decisiones en el espacio fintech y cripto – a una invitación de reunión urgente por parte de la cuenta de un colega comprometida.
Hacer clic en el enlace lleva a una página web aparentemente auténtica que simula un mensaje de error al intentar conectarse a Zoom, Teams o Meet. El sitio web luego le pide a la víctima que copie y pegue una línea de código aparentemente inofensiva en la Terminal de Mac para "resolver" el problema.
Al hacerlo, la víctima puede eludir los mecanismos de seguridad de macOS, como Gatekeeper, ya que el ataque se origina desde la propia víctima.
Al ejecutarse, el código instala un binario llamado teamsSDK.bin.
El stager descarga el paquete de la aplicación falsa de macOS y lo firma digitalmente con la herramienta codesign nativa utilizando una firma ad hoc. Luego pregunta repetidamente a la víctima por su contraseña, mostrando mensajes mal traducidos que parecen auténticos.
Después de completar el proceso de instalación falso, el ladrón comienza la huella digital del sistema, la configuración de persistencia y la instalación de la carga útil.
A diferencia de otras técnicas que implican exploits complejos, esta no lo hace. Esto la hace muy efectiva en objetivos valiosos que podrían estar gestionando varias llamadas simultáneas mientras copian comandos sin verificarlos.
Dentro del malware Mach-O Man
El malware "Mach-O Man" utiliza múltiples etapas, cada una con binarios Mach-O compilados en Go. El malware contiene un módulo de perfilador que recopila información del sistema, incluido el nombre de host, UUID, información de la CPU, configuración de red y procesos en ejecución
Tiene extensiones para los navegadores Chrome, Firefox, Safari, Brave, Opera y Vivaldi. La información se transmite al servidor de comando y control mediante solicitudes POST curl simples en los puertos 8888 y 9999.
El módulo persistente minst2.bin descarga un archivo plist de LaunchAgent (com.onedrive.launcher.plist), lo que asegura que el malware se lance cada vez que el usuario inicia sesión fingiendo ser un proceso legítimo llamado "OneDrive" o "Servicio Antivirus".
Macrasv2, la última carga útil responsable de robar datos del sistema, recopila información de los detalles de inicio de sesión de los navegadores y las cookies encontradas en bases de datos SQLite, así como entradas sensibles del Llavero. Todos los datos recopilados se comprimen y envían a través de la API del bot de Telegram, cuyo token fue expuesto en la superficie.
El legado devastador del Grupo Lazarus en criptomonedas y tecnología de EE. UU.
El lanzamiento de "Mach-O Man" está en línea con los esfuerzos a largo plazo del Grupo Lazarus para llevar a cabo ciberataques con fines de lucro. Han resultado en enormes pérdidas para el mundo cripto, especialmente aquellas basadas en Estados Unidos.
Este grupo ha sido identificado como involucrado en algunos de los mayores robos en la historia de las criptomonedas, como el robo de 625 millones de dólares de la Red Ronin (Axie Infinity), el robo de 1.500 millones de dólares de Bybit, el robo de 308 millones de dólares de DMM Bitcoin, el robo de 292 millones de dólares de KelpDAO, el robo de 285 millones de dólares de Drift y 235 millones de dólares de WazirX.
El Grupo Lazarus de Corea del Norte ha lanzado un malware avanzado dirigido a dispositivos macOS. Mach-O Man, como se le llama, está diseñado para atacar a empresas de criptomonedas, organizaciones fintech y altos ejecutivos que utilizan Macs para transacciones financieras.
El ataque fue identificado por primera vez a mediados de abril de 2026. Utiliza aplicaciones populares de entornos laborales, como Zoom, Microsoft Teams y Google Meet, para lanzar ataques de ingeniería social.
Los hackers de Corea del Norte se dirigen a los usuarios de Mac
Como se ha informado, este ataque aprovecha la confianza que los empleados depositan en sus herramientas de comunicación habituales, como Zoom, Microsoft Teams y Google Meet. Esto ha convertido la colaboración cotidiana en una vía para ataques a nivel del sistema.
El primer paso es un señuelo de ingeniería social cuidadosamente elaborado a través de Telegram. Este señuelo atrae a la víctima – desarrolladores, ejecutivos y tomadores de decisiones en el espacio fintech y cripto – a una invitación de reunión urgente por parte de la cuenta de un colega comprometida.
Hacer clic en el enlace lleva a una página web aparentemente auténtica que simula un mensaje de error al intentar conectarse a Zoom, Teams o Meet. El sitio web luego le pide a la víctima que copie y pegue una línea de código aparentemente inofensiva en la Terminal de Mac para "resolver" el problema.
Al hacerlo, la víctima puede eludir los mecanismos de seguridad de macOS, como Gatekeeper, ya que el ataque se origina desde la propia víctima.
Al ejecutarse, el código instala un binario llamado teamsSDK.bin.
El stager descarga el paquete de la aplicación falsa de macOS y lo firma digitalmente con la herramienta codesign nativa utilizando una firma ad hoc. Luego pregunta repetidamente a la víctima por su contraseña, mostrando mensajes mal traducidos que parecen auténticos.
Después de completar el proceso de instalación falso, el ladrón comienza la huella digital del sistema, la configuración de persistencia y la instalación de la carga útil.
A diferencia de otras técnicas que implican exploits complejos, esta no lo hace. Esto la hace muy efectiva en objetivos valiosos que podrían estar gestionando varias llamadas simultáneas mientras copian comandos sin verificarlos.
Dentro del malware Mach-O Man
El malware "Mach-O Man" utiliza múltiples etapas, cada una con binarios Mach-O compilados en Go. El malware contiene un módulo de perfilador que recopila información del sistema, incluido el nombre de host, UUID, información de la CPU, configuración de red y procesos en ejecución
Tiene extensiones para los navegadores Chrome, Firefox, Safari, Brave, Opera y Vivaldi. La información se transmite al servidor de comando y control mediante solicitudes POST curl simples en los puertos 8888 y 9999.
El módulo persistente minst2.bin descarga un archivo plist de LaunchAgent (com.onedrive.launcher.plist), lo que asegura que el malware se lance cada vez que el usuario inicia sesión fingiendo ser un proceso legítimo llamado "OneDrive" o "Servicio Antivirus".
Macrasv2, la última carga útil responsable de robar datos del sistema, recopila información de los detalles de inicio de sesión de los navegadores y las cookies encontradas en bases de datos SQLite, así como entradas sensibles del Llavero. Todos los datos recopilados se comprimen y envían a través de la API del bot de Telegram, cuyo token fue expuesto en la superficie.
El legado devastador del Grupo Lazarus en criptomonedas y tecnología de EE. UU.
El lanzamiento de "Mach-O Man" está en línea con los esfuerzos a largo plazo del Grupo Lazarus para llevar a cabo ciberataques con fines de lucro. Han resultado en enormes pérdidas para el mundo cripto, especialmente aquellas basadas en Estados Unidos.
Este grupo ha sido identificado como involucrado en algunos de los mayores robos en la historia de las criptomonedas, como el robo de 625 millones de dólares de la Red Ronin (Axie Infinity), el robo de 1.500 millones de dólares de Bybit, el robo de 308 millones de dólares de DMM Bitcoin, el robo de 292 millones de dólares de KelpDAO, el robo de 285 millones de dólares de Drift y 235 millones de dólares de WazirX.
Las mentes más inteligentes del mundo cripto ya leen nuestro boletín. ¿Quieres unirte? Únete a ellos.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
Florence Muchai
Florence ha estado cubriendo durante los últimos 6 años noticias sobre criptomonedas, juegos, tecnología e inteligencia artificial. Sus estudios de Ciencias de la Computación en la Universidad de Ciencias y Tecnología de Meru y Gestión de Desastres y Diplomacia Internacional en MMUST la dotan adecuadamente de habilidades lingüísticas, de observación y técnicas. Florence ha trabajado en VAP Group y como editora en varias casas de medios de criptomonedas.
