Le groupe Lazarus de Corée du Nord cible la crypto et les cadres à haute valeur avec le kit de malware macOS 'Mach-O Man'

Le module persistant minst2.bin dépose un fichier plist LaunchAgent (com.onedrive.launcher.plist), qui assure le lancement du malware à chaque connexion de l'utilisateur en se faisant passer pour un processus légitime appelé « OneDrive » ou « Service Antivirus ».

Macrasv2, la dernière charge utile responsable du vol de données du système, collecte des informations à partir des détails de connexion des navigateurs et des cookies trouvés dans les bases de données SQLite ainsi que des entrées sensibles du Trésorier (Keychain). Toutes les données collectées sont ensuite compressées et envoyées via l'API du bot Telegram, dont le jeton a été exposé publiquement.

L'héritage dévastateur du groupe Lazarus dans la crypto et la technologie américaine

Le lancement de « Mach-O Man » s'inscrit dans les efforts à long terme du groupe Lazarus pour mener des cyberattaques à des fins lucratives. Ils ont entraîné d'énormes pertes pour le monde de la crypto, en particulier pour ceux basés aux États-Unis.

Ce groupe a été identifié comme impliqué dans certains des plus grands vols de l'histoire de la crypto, tels que le vol de 625 millions de dollars du réseau Ronin (Axie Infinity), le vol de 1,5 milliard de dollars de Bybit, le vol de 308 millions de dollars de DMM Bitcoin, le vol de 292 millions de dollars de KelpDAO, le vol de 285 millions de dollars de Drift, et 235 millions de dollars de WazirX.

Le malware « Mach-O Man » utilise plusieurs étapes, chacune avec des binaires Mach-O compilés en Go. Le malware contient un module de profilage qui collecte des informations système, y compris le nom d'hôte, l'UUID, les informations CPU, la configuration réseau et les processus en cours d'exécution

Il dispose d'extensions pour les navigateurs Chrome, Firefox, Safari, Brave, Opera et Vivaldi. Les informations sont transmises au serveur de commande et de contrôle via de simples requêtes POST curl sur les ports 8888 et 9999.

Le module persistant minst2.bin dépose un fichier plist LaunchAgent (com.onedrive.launcher.plist), qui assure le lancement du malware à chaque connexion de l'utilisateur en se faisant passer pour un processus légitime appelé « OneDrive » ou « Service Antivirus ».

Macrasv2, la dernière charge utile responsable du vol de données du système, collecte des informations à partir des détails de connexion des navigateurs et des cookies trouvés dans les bases de données SQLite ainsi que des entrées sensibles du Trésorier (Keychain). Toutes les données collectées sont ensuite compressées et envoyées via l'API du bot Telegram, dont le jeton a été exposé publiquement.

L'héritage dévastateur du groupe Lazarus dans la crypto et la technologie américaine

Le lancement de « Mach-O Man » s'inscrit dans les efforts à long terme du groupe Lazarus pour mener des cyberattaques à des fins lucratives. Ils ont entraîné d'énormes pertes pour le monde de la crypto, en particulier pour ceux basés aux États-Unis.

Ce groupe a été identifié comme impliqué dans certains des plus grands vols de l'histoire de la crypto, tels que le vol de 625 millions de dollars du réseau Ronin (Axie Infinity), le vol de 1,5 milliard de dollars de Bybit, le vol de 308 millions de dollars de DMM Bitcoin, le vol de 292 millions de dollars de KelpDAO, le vol de 285 millions de dollars de Drift, et 235 millions de dollars de WazirX.

Le malware « Mach-O Man » utilise plusieurs étapes, chacune avec des binaires Mach-O compilés en Go. Le malware contient un module de profilage qui collecte des informations système, y compris le nom d'hôte, l'UUID, les informations CPU, la configuration réseau et les processus en cours d'exécution

Il dispose d'extensions pour les navigateurs Chrome, Firefox, Safari, Brave, Opera et Vivaldi. Les informations sont transmises au serveur de commande et de contrôle via de simples requêtes POST curl sur les ports 8888 et 9999.

Le module persistant minst2.bin dépose un fichier plist LaunchAgent (com.onedrive.launcher.plist), qui assure le lancement du malware à chaque connexion de l'utilisateur en se faisant passer pour un processus légitime appelé « OneDrive » ou « Service Antivirus ».

Macrasv2, la dernière charge utile responsable du vol de données du système, collecte des informations à partir des détails de connexion des navigateurs et des cookies trouvés dans les bases de données SQLite ainsi que des entrées sensibles du Trésorier (Keychain). Toutes les données collectées sont ensuite compressées et envoyées via l'API du bot Telegram, dont le jeton a été exposé publiquement.

L'héritage dévastateur du groupe Lazarus dans la crypto et la technologie américaine

Le lancement de « Mach-O Man » s'inscrit dans les efforts à long terme du groupe Lazarus pour mener des cyberattaques à des fins lucratives. Ils ont entraîné d'énormes pertes pour le monde de la crypto, en particulier pour ceux basés aux États-Unis.

Ce groupe a été identifié comme impliqué dans certains des plus grands vols de l'histoire de la crypto, tels que le vol de 625 millions de dollars du réseau Ronin (Axie Infinity), le vol de 1,5 milliard de dollars de Bybit, le vol de 308 millions de dollars de DMM Bitcoin, le vol de 292 millions de dollars de KelpDAO, le vol de 285 millions de dollars de Drift, et 235 millions de dollars de WazirX.

Après avoir terminé le processus d'installation factice, le voleur commence l'empreinte système, la configuration de la persistance et l'installation de la charge utile.

Contrairement à d'autres techniques impliquant des exploits complexes, celle-ci ne le fait pas. Cela la rend très efficace sur des cibles précieuses qui pourraient gérer plusieurs appels simultanés tout en copiant des commandes sans les vérifier.

À l'intérieur du malware Mach-O Man

Le malware « Mach-O Man » utilise plusieurs étapes, chacune avec des binaires Mach-O compilés en Go. Le malware contient un module de profilage qui collecte des informations système, y compris le nom d'hôte, l'UUID, les informations CPU, la configuration réseau et les processus en cours d'exécution

Il dispose d'extensions pour les navigateurs Chrome, Firefox, Safari, Brave, Opera et Vivaldi. Les informations sont transmises au serveur de commande et de contrôle via de simples requêtes POST curl sur les ports 8888 et 9999.

Le module persistant minst2.bin dépose un fichier plist LaunchAgent (com.onedrive.launcher.plist), qui assure le lancement du malware à chaque connexion de l'utilisateur en se faisant passer pour un processus légitime appelé « OneDrive » ou « Service Antivirus ».

Macrasv2, la dernière charge utile responsable du vol de données du système, collecte des informations à partir des détails de connexion des navigateurs et des cookies trouvés dans les bases de données SQLite ainsi que des entrées sensibles du Trésorier (Keychain). Toutes les données collectées sont ensuite compressées et envoyées via l'API du bot Telegram, dont le jeton a été exposé publiquement.

L'héritage dévastateur du groupe Lazarus dans la crypto et la technologie américaine

Le lancement de « Mach-O Man » s'inscrit dans les efforts à long terme du groupe Lazarus pour mener des cyberattaques à des fins lucratives. Ils ont entraîné d'énormes pertes pour le monde de la crypto, en particulier pour ceux basés aux États-Unis.

Ce groupe a été identifié comme impliqué dans certains des plus grands vols de l'histoire de la crypto, tels que le vol de 625 millions de dollars du réseau Ronin (Axie Infinity), le vol de 1,5 milliard de dollars de Bybit, le vol de 308 millions de dollars de DMM Bitcoin, le vol de 292 millions de dollars de KelpDAO, le vol de 285 millions de dollars de Drift, et 235 millions de dollars de WazirX.

Après avoir terminé le processus d'installation factice, le voleur commence l'empreinte système, la configuration de la persistance et l'installation de la charge utile.

Contrairement à d'autres techniques impliquant des exploits complexes, celle-ci ne le fait pas. Cela la rend très efficace sur des cibles précieuses qui pourraient gérer plusieurs appels simultanés tout en copiant des commandes sans les vérifier.

À l'intérieur du malware Mach-O Man

Le malware « Mach-O Man » utilise plusieurs étapes, chacune avec des binaires Mach-O compilés en Go. Le malware contient un module de profilage qui collecte des informations système, y compris le nom d'hôte, l'UUID, les informations CPU, la configuration réseau et les processus en cours d'exécution

Il dispose d'extensions pour les navigateurs Chrome, Firefox, Safari, Brave, Opera et Vivaldi. Les informations sont transmises au serveur de commande et de contrôle via de simples requêtes POST curl sur les ports 8888 et 9999.

Le module persistant minst2.bin dépose un fichier plist LaunchAgent (com.onedrive.launcher.plist), qui assure le lancement du malware à chaque connexion de l'utilisateur en se faisant passer pour un processus légitime appelé « OneDrive » ou « Service Antivirus ».

Macrasv2, la dernière charge utile responsable du vol de données du système, collecte des informations à partir des détails de connexion des navigateurs et des cookies trouvés dans les bases de données SQLite ainsi que des entrées sensibles du Trésorier (Keychain). Toutes les données collectées sont ensuite compressées et envoyées via l'API du bot Telegram, dont le jeton a été exposé publiquement.

L'héritage dévastateur du groupe Lazarus dans la crypto et la technologie américaine

Le lancement de « Mach-O Man » s'inscrit dans les efforts à long terme du groupe Lazarus pour mener des cyberattaques à des fins lucratives. Ils ont entraîné d'énormes pertes pour le monde de la crypto, en particulier pour ceux basés aux États-Unis.

Ce groupe a été identifié comme impliqué dans certains des plus grands vols de l'histoire de la crypto, tels que le vol de 625 millions de dollars du réseau Ronin (Axie Infinity), le vol de 1,5 milliard de dollars de Bybit, le vol de 308 millions de dollars de DMM Bitcoin, le vol de 292 millions de dollars de KelpDAO, le vol de 285 millions de dollars de Drift, et 235 millions de dollars de WazirX.

Après avoir terminé le processus d'installation factice, le voleur commence l'empreinte système, la configuration de la persistance et l'installation de la charge utile.

Contrairement à d'autres techniques impliquant des exploits complexes, celle-ci ne le fait pas. Cela la rend très efficace sur des cibles précieuses qui pourraient gérer plusieurs appels simultanés tout en copiant des commandes sans les vérifier.

À l'intérieur du malware Mach-O Man

Le malware « Mach-O Man » utilise plusieurs étapes, chacune avec des binaires Mach-O compilés en Go. Le malware contient un module de profilage qui collecte des informations système, y compris le nom d'hôte, l'UUID, les informations CPU, la configuration réseau et les processus en cours d'exécution

Il dispose d'extensions pour les navigateurs Chrome, Firefox, Safari, Brave, Opera et Vivaldi. Les informations sont transmises au serveur de commande et de contrôle via de simples requêtes POST curl sur les ports 8888 et 9999.

Le module persistant minst2.bin dépose un fichier plist LaunchAgent (com.onedrive.launcher.plist), qui assure le lancement du malware à chaque connexion de l'utilisateur en se faisant passer pour un processus légitime appelé « OneDrive » ou « Service Antivirus ».

Macrasv2, la dernière charge utile responsable du vol de données du système, collecte des informations à partir des détails de connexion des navigateurs et des cookies trouvés dans les bases de données SQLite ainsi que des entrées sensibles du Trésorier (Keychain). Toutes les données collectées sont ensuite compressées et envoyées via l'API du bot Telegram, dont le jeton a été exposé publiquement.

L'héritage dévastateur du groupe Lazarus dans la crypto et la technologie américaine

Le lancement de « Mach-O Man » s'inscrit dans les efforts à long terme du groupe Lazarus pour mener des cyberattaques à des fins lucratives. Ils ont entraîné d'énormes pertes pour le monde de la crypto, en particulier pour ceux basés aux États-Unis.

Ce groupe a été identifié comme impliqué dans certains des plus grands vols de l'histoire de la crypto, tels que le vol de 625 millions de dollars du réseau Ronin (Axie Infinity), le vol de 1,5 milliard de dollars de Bybit, le vol de 308 millions de dollars de DMM Bitcoin, le vol de 292 millions de dollars de KelpDAO, le vol de 285 millions de dollars de Drift, et 235 millions de dollars de WazirX.

Cliquer sur le lien mène à une page web apparemment authentique qui simule un message d'erreur lors de la tentative de connexion à Zoom, Teams ou Meet. Le site demande ensuite à la victime de copier et coller une ligne de code apparemment inoffensive dans le Terminal du Mac pour « résoudre » le problème.

Ce faisant, la victime peut contourner les mécanismes de sécurité de macOS, tels que Gatekeeper, car l'attaque provient de la victime elle-même.

Lors de l'exécution, le code installe un binaire nommé teamsSDK.bin.

Le stager télécharge le bundle d'application macOS factice et le signe numériquement avec l'outil codesign natif en utilisant une signature ad hoc. Il demande ensuite à plusieurs reprises le mot de passe de la victime, affichant des messages mal traduits qui semblent authentiques. 

Après avoir terminé le processus d'installation factice, le voleur commence l'empreinte système, la configuration de la persistance et l'installation de la charge utile.

Contrairement à d'autres techniques impliquant des exploits complexes, celle-ci ne le fait pas. Cela la rend très efficace sur des cibles précieuses qui pourraient gérer plusieurs appels simultanés tout en copiant des commandes sans les vérifier.

À l'intérieur du malware Mach-O Man

Le malware « Mach-O Man » utilise plusieurs étapes, chacune avec des binaires Mach-O compilés en Go. Le malware contient un module de profilage qui collecte des informations système, y compris le nom d'hôte, l'UUID, les informations CPU, la configuration réseau et les processus en cours d'exécution

Il dispose d'extensions pour les navigateurs Chrome, Firefox, Safari, Brave, Opera et Vivaldi. Les informations sont transmises au serveur de commande et de contrôle via de simples requêtes POST curl sur les ports 8888 et 9999.

Le module persistant minst2.bin dépose un fichier plist LaunchAgent (com.onedrive.launcher.plist), qui assure le lancement du malware à chaque connexion de l'utilisateur en se faisant passer pour un processus légitime appelé « OneDrive » ou « Service Antivirus ».

Macrasv2, la dernière charge utile responsable du vol de données du système, collecte des informations à partir des détails de connexion des navigateurs et des cookies trouvés dans les bases de données SQLite ainsi que des entrées sensibles du Trésorier (Keychain). Toutes les données collectées sont ensuite compressées et envoyées via l'API du bot Telegram, dont le jeton a été exposé publiquement.

L'héritage dévastateur du groupe Lazarus dans la crypto et la technologie américaine

Le lancement de « Mach-O Man » s'inscrit dans les efforts à long terme du groupe Lazarus pour mener des cyberattaques à des fins lucratives. Ils ont entraîné d'énormes pertes pour le monde de la crypto, en particulier pour ceux basés aux États-Unis.

Ce groupe a été identifié comme impliqué dans certains des plus grands vols de l'histoire de la crypto, tels que le vol de 625 millions de dollars du réseau Ronin (Axie Infinity), le vol de 1,5 milliard de dollars de Bybit, le vol de 308 millions de dollars de DMM Bitcoin, le vol de 292 millions de dollars de KelpDAO, le vol de 285 millions de dollars de Drift, et 235 millions de dollars de WazirX.

Cliquer sur le lien mène à une page web apparemment authentique qui simule un message d'erreur lors de la tentative de connexion à Zoom, Teams ou Meet. Le site demande ensuite à la victime de copier et coller une ligne de code apparemment inoffensive dans le Terminal du Mac pour « résoudre » le problème.

Ce faisant, la victime peut contourner les mécanismes de sécurité de macOS, tels que Gatekeeper, car l'attaque provient de la victime elle-même.

Lors de l'exécution, le code installe un binaire nommé teamsSDK.bin.

Le stager télécharge le bundle d'application macOS factice et le signe numériquement avec l'outil codesign natif en utilisant une signature ad hoc. Il demande ensuite à plusieurs reprises le mot de passe de la victime, affichant des messages mal traduits qui semblent authentiques. 

Après avoir terminé le processus d'installation factice, le voleur commence l'empreinte système, la configuration de la persistance et l'installation de la charge utile.

Contrairement à d'autres techniques impliquant des exploits complexes, celle-ci ne le fait pas. Cela la rend très efficace sur des cibles précieuses qui pourraient gérer plusieurs appels simultanés tout en copiant des commandes sans les vérifier.

À l'intérieur du malware Mach-O Man

Le malware « Mach-O Man » utilise plusieurs étapes, chacune avec des binaires Mach-O compilés en Go. Le malware contient un module de profilage qui collecte des informations système, y compris le nom d'hôte, l'UUID, les informations CPU, la configuration réseau et les processus en cours d'exécution

Il dispose d'extensions pour les navigateurs Chrome, Firefox, Safari, Brave, Opera et Vivaldi. Les informations sont transmises au serveur de commande et de contrôle via de simples requêtes POST curl sur les ports 8888 et 9999.

Le module persistant minst2.bin dépose un fichier plist LaunchAgent (com.onedrive.launcher.plist), qui assure le lancement du malware à chaque connexion de l'utilisateur en se faisant passer pour un processus légitime appelé « OneDrive » ou « Service Antivirus ».

Macrasv2, la dernière charge utile responsable du vol de données du système, collecte des informations à partir des détails de connexion des navigateurs et des cookies trouvés dans les bases de données SQLite ainsi que des entrées sensibles du Trésorier (Keychain). Toutes les données collectées sont ensuite compressées et envoyées via l'API du bot Telegram, dont le jeton a été exposé publiquement.

L'héritage dévastateur du groupe Lazarus dans la crypto et la technologie américaine

Le lancement de « Mach-O Man » s'inscrit dans les efforts à long terme du groupe Lazarus pour mener des cyberattaques à des fins lucratives. Ils ont entraîné d'énormes pertes pour le monde de la crypto, en particulier pour ceux basés aux États-Unis.

Ce groupe a été identifié comme impliqué dans certains des plus grands vols de l'histoire de la crypto, tels que le vol de 625 millions de dollars du réseau Ronin (Axie Infinity), le vol de 1,5 milliard de dollars de Bybit, le vol de 308 millions de dollars de DMM Bitcoin, le vol de 292 millions de dollars de KelpDAO, le vol de 285 millions de dollars de Drift, et 235 millions de dollars de WazirX.

Les hackers nord-coréens visent les utilisateurs de Mac

Comme signalé, cette attaque exploite la confiance que les employés accordent à leurs outils de communication réguliers, tels que Zoom, Microsoft Teams et Google Meet. Cela a fait de la collaboration quotidienne une voie d'attaque au niveau du système.

La première étape est une appât soigneusement conçu d'ingénierie sociale via Telegram. Cela attire la victime – développeurs, dirigeants et décideurs dans les domaines de la fintech et des crypto-monnaies – dans une invitation à une réunion urgente via le compte d'un collègue compromis.

Cliquer sur le lien mène à une page web apparemment authentique qui simule un message d'erreur lors de la tentative de connexion à Zoom, Teams ou Meet. Le site demande ensuite à la victime de copier et coller une ligne de code apparemment inoffensive dans le Terminal du Mac pour « résoudre » le problème.

Ce faisant, la victime peut contourner les mécanismes de sécurité de macOS, tels que Gatekeeper, car l'attaque provient de la victime elle-même.

Lors de l'exécution, le code installe un binaire nommé teamsSDK.bin.

Le stager télécharge le bundle d'application macOS factice et le signe numériquement avec l'outil codesign natif en utilisant une signature ad hoc. Il demande ensuite à plusieurs reprises le mot de passe de la victime, affichant des messages mal traduits qui semblent authentiques. 

Après avoir terminé le processus d'installation factice, le voleur commence l'empreinte système, la configuration de la persistance et l'installation de la charge utile.

Contrairement à d'autres techniques impliquant des exploits complexes, celle-ci ne le fait pas. Cela la rend très efficace sur des cibles précieuses qui pourraient gérer plusieurs appels simultanés tout en copiant des commandes sans les vérifier.

À l'intérieur du malware Mach-O Man

Le malware « Mach-O Man » utilise plusieurs étapes, chacune avec des binaires Mach-O compilés en Go. Le malware contient un module de profilage qui collecte des informations système, y compris le nom d'hôte, l'UUID, les informations CPU, la configuration réseau et les processus en cours d'exécution

Il dispose d'extensions pour les navigateurs Chrome, Firefox, Safari, Brave, Opera et Vivaldi. Les informations sont transmises au serveur de commande et de contrôle via de simples requêtes POST curl sur les ports 8888 et 9999.

Le module persistant minst2.bin dépose un fichier plist LaunchAgent (com.onedrive.launcher.plist), qui assure le lancement du malware à chaque connexion de l'utilisateur en se faisant passer pour un processus légitime appelé « OneDrive » ou « Service Antivirus ».

Macrasv2, la dernière charge utile responsable du vol de données du système, collecte des informations à partir des détails de connexion des navigateurs et des cookies trouvés dans les bases de données SQLite ainsi que des entrées sensibles du Trésorier (Keychain). Toutes les données collectées sont ensuite compressées et envoyées via l'API du bot Telegram, dont le jeton a été exposé publiquement.

L'héritage dévastateur du groupe Lazarus dans la crypto et la technologie américaine

Le lancement de « Mach-O Man » s'inscrit dans les efforts à long terme du groupe Lazarus pour mener des cyberattaques à des fins lucratives. Ils ont entraîné d'énormes pertes pour le monde de la crypto, en particulier pour ceux basés aux États-Unis.

Ce groupe a été identifié comme impliqué dans certains des plus grands vols de l'histoire de la crypto, tels que le vol de 625 millions de dollars du réseau Ronin (Axie Infinity), le vol de 1,5 milliard de dollars de Bybit, le vol de 308 millions de dollars de DMM Bitcoin, le vol de 292 millions de dollars de KelpDAO, le vol de 285 millions de dollars de Drift, et 235 millions de dollars de WazirX.

Les hackers nord-coréens visent les utilisateurs de Mac

Comme signalé, cette attaque exploite la confiance que les employés accordent à leurs outils de communication réguliers, tels que Zoom, Microsoft Teams et Google Meet. Cela a fait de la collaboration quotidienne une voie d'attaque au niveau du système.

La première étape est une appât soigneusement conçu d'ingénierie sociale via Telegram. Cela attire la victime – développeurs, dirigeants et décideurs dans les domaines de la fintech et des crypto-monnaies – dans une invitation à une réunion urgente via le compte d'un collègue compromis.

Cliquer sur le lien mène à une page web apparemment authentique qui simule un message d'erreur lors de la tentative de connexion à Zoom, Teams ou Meet. Le site demande ensuite à la victime de copier et coller une ligne de code apparemment inoffensive dans le Terminal du Mac pour « résoudre » le problème.

Ce faisant, la victime peut contourner les mécanismes de sécurité de macOS, tels que Gatekeeper, car l'attaque provient de la victime elle-même.

Lors de l'exécution, le code installe un binaire nommé teamsSDK.bin.

Le stager télécharge le bundle d'application macOS factice et le signe numériquement avec l'outil codesign natif en utilisant une signature ad hoc. Il demande ensuite à plusieurs reprises le mot de passe de la victime, affichant des messages mal traduits qui semblent authentiques. 

Après avoir terminé le processus d'installation factice, le voleur commence l'empreinte système, la configuration de la persistance et l'installation de la charge utile.

Contrairement à d'autres techniques impliquant des exploits complexes, celle-ci ne le fait pas. Cela la rend très efficace sur des cibles précieuses qui pourraient gérer plusieurs appels simultanés tout en copiant des commandes sans les vérifier.

À l'intérieur du malware Mach-O Man

Le malware « Mach-O Man » utilise plusieurs étapes, chacune avec des binaires Mach-O compilés en Go. Le malware contient un module de profilage qui collecte des informations système, y compris le nom d'hôte, l'UUID, les informations CPU, la configuration réseau et les processus en cours d'exécution

Il dispose d'extensions pour les navigateurs Chrome, Firefox, Safari, Brave, Opera et Vivaldi. Les informations sont transmises au serveur de commande et de contrôle via de simples requêtes POST curl sur les ports 8888 et 9999.

Le module persistant minst2.bin dépose un fichier plist LaunchAgent (com.onedrive.launcher.plist), qui assure le lancement du malware à chaque connexion de l'utilisateur en se faisant passer pour un processus légitime appelé « OneDrive » ou « Service Antivirus ».

Macrasv2, la dernière charge utile responsable du vol de données du système, collecte des informations à partir des détails de connexion des navigateurs et des cookies trouvés dans les bases de données SQLite ainsi que des entrées sensibles du Trésorier (Keychain). Toutes les données collectées sont ensuite compressées et envoyées via l'API du bot Telegram, dont le jeton a été exposé publiquement.

L'héritage dévastateur du groupe Lazarus dans la crypto et la technologie américaine

Le lancement de « Mach-O Man » s'inscrit dans les efforts à long terme du groupe Lazarus pour mener des cyberattaques à des fins lucratives. Ils ont entraîné d'énormes pertes pour le monde de la crypto, en particulier pour ceux basés aux États-Unis.

Ce groupe a été identifié comme impliqué dans certains des plus grands vols de l'histoire de la crypto, tels que le vol de 625 millions de dollars du réseau Ronin (Axie Infinity), le vol de 1,5 milliard de dollars de Bybit, le vol de 308 millions de dollars de DMM Bitcoin, le vol de 292 millions de dollars de KelpDAO, le vol de 285 millions de dollars de Drift, et 235 millions de dollars de WazirX.

Le groupe Lazarus de Corée du Nord a lancé un malware avancé ciblant les appareils macOS. Mach-O Man, comme on l'appelle, est conçu pour s'en prendre aux entreprises de crypto, aux organisations fintech et aux cadres clés utilisant des Mac pour les transactions financières.

L'attaque a été identifiée pour la première fois au milieu d'avril 2026. Elle utilise des applications de travail populaires telles que Zoom, Microsoft Teams et Google Meet pour lancer des attaques d'ingénierie sociale.

Les hackers nord-coréens visent les utilisateurs de Mac

Comme signalé, cette attaque exploite la confiance que les employés accordent à leurs outils de communication réguliers, tels que Zoom, Microsoft Teams et Google Meet. Cela a fait de la collaboration quotidienne une voie d'attaque au niveau du système.

La première étape est une appât soigneusement conçu d'ingénierie sociale via Telegram. Cela attire la victime – développeurs, dirigeants et décideurs dans les domaines de la fintech et des crypto-monnaies – dans une invitation à une réunion urgente via le compte d'un collègue compromis.

Cliquer sur le lien mène à une page web apparemment authentique qui simule un message d'erreur lors de la tentative de connexion à Zoom, Teams ou Meet. Le site demande ensuite à la victime de copier et coller une ligne de code apparemment inoffensive dans le Terminal du Mac pour « résoudre » le problème.

Ce faisant, la victime peut contourner les mécanismes de sécurité de macOS, tels que Gatekeeper, car l'attaque provient de la victime elle-même.

Lors de l'exécution, le code installe un binaire nommé teamsSDK.bin.

Le stager télécharge le bundle d'application macOS factice et le signe numériquement avec l'outil codesign natif en utilisant une signature ad hoc. Il demande ensuite à plusieurs reprises le mot de passe de la victime, affichant des messages mal traduits qui semblent authentiques. 

Après avoir terminé le processus d'installation factice, le voleur commence l'empreinte système, la configuration de la persistance et l'installation de la charge utile.

Contrairement à d'autres techniques impliquant des exploits complexes, celle-ci ne le fait pas. Cela la rend très efficace sur des cibles précieuses qui pourraient gérer plusieurs appels simultanés tout en copiant des commandes sans les vérifier.

À l'intérieur du malware Mach-O Man

Le malware « Mach-O Man » utilise plusieurs étapes, chacune avec des binaires Mach-O compilés en Go. Le malware contient un module de profilage qui collecte des informations système, y compris le nom d'hôte, l'UUID, les informations CPU, la configuration réseau et les processus en cours d'exécution

Il dispose d'extensions pour les navigateurs Chrome, Firefox, Safari, Brave, Opera et Vivaldi. Les informations sont transmises au serveur de commande et de contrôle via de simples requêtes POST curl sur les ports 8888 et 9999.

Le module persistant minst2.bin dépose un fichier plist LaunchAgent (com.onedrive.launcher.plist), qui assure le lancement du malware à chaque connexion de l'utilisateur en se faisant passer pour un processus légitime appelé « OneDrive » ou « Service Antivirus ».

Macrasv2, la dernière charge utile responsable du vol de données du système, collecte des informations à partir des détails de connexion des navigateurs et des cookies trouvés dans les bases de données SQLite ainsi que des entrées sensibles du Trésorier (Keychain). Toutes les données collectées sont ensuite compressées et envoyées via l'API du bot Telegram, dont le jeton a été exposé publiquement.

L'héritage dévastateur du groupe Lazarus dans la crypto et la technologie américaine

Le lancement de « Mach-O Man » s'inscrit dans les efforts à long terme du groupe Lazarus pour mener des cyberattaques à des fins lucratives. Ils ont entraîné d'énormes pertes pour le monde de la crypto, en particulier pour ceux basés aux États-Unis.

Ce groupe a été identifié comme impliqué dans certains des plus grands vols de l'histoire de la crypto, tels que le vol de 625 millions de dollars du réseau Ronin (Axie Infinity), le vol de 1,5 milliard de dollars de Bybit, le vol de 308 millions de dollars de DMM Bitcoin, le vol de 292 millions de dollars de KelpDAO, le vol de 285 millions de dollars de Drift, et 235 millions de dollars de WazirX.

Le groupe Lazarus de Corée du Nord a lancé un malware avancé ciblant les appareils macOS. Mach-O Man, comme on l'appelle, est conçu pour s'en prendre aux entreprises de crypto, aux organisations fintech et aux cadres clés utilisant des Mac pour les transactions financières.

L'attaque a été identifiée pour la première fois au milieu d'avril 2026. Elle utilise des applications de travail populaires telles que Zoom, Microsoft Teams et Google Meet pour lancer des attaques d'ingénierie sociale.

Les hackers nord-coréens visent les utilisateurs de Mac

Comme signalé, cette attaque exploite la confiance que les employés accordent à leurs outils de communication réguliers, tels que Zoom, Microsoft Teams et Google Meet. Cela a fait de la collaboration quotidienne une voie d'attaque au niveau du système.

La première étape est une appât soigneusement conçu d'ingénierie sociale via Telegram. Cela attire la victime – développeurs, dirigeants et décideurs dans les domaines de la fintech et des crypto-monnaies – dans une invitation à une réunion urgente via le compte d'un collègue compromis.

Cliquer sur le lien mène à une page web apparemment authentique qui simule un message d'erreur lors de la tentative de connexion à Zoom, Teams ou Meet. Le site demande ensuite à la victime de copier et coller une ligne de code apparemment inoffensive dans le Terminal du Mac pour « résoudre » le problème.

Ce faisant, la victime peut contourner les mécanismes de sécurité de macOS, tels que Gatekeeper, car l'attaque provient de la victime elle-même.

Lors de l'exécution, le code installe un binaire nommé teamsSDK.bin.

Le stager télécharge le bundle d'application macOS factice et le signe numériquement avec l'outil codesign natif en utilisant une signature ad hoc. Il demande ensuite à plusieurs reprises le mot de passe de la victime, affichant des messages mal traduits qui semblent authentiques. 

Après avoir terminé le processus d'installation factice, le voleur commence l'empreinte système, la configuration de la persistance et l'installation de la charge utile.

Contrairement à d'autres techniques impliquant des exploits complexes, celle-ci ne le fait pas. Cela la rend très efficace sur des cibles précieuses qui pourraient gérer plusieurs appels simultanés tout en copiant des commandes sans les vérifier.

À l'intérieur du malware Mach-O Man

Le malware « Mach-O Man » utilise plusieurs étapes, chacune avec des binaires Mach-O compilés en Go. Le malware contient un module de profilage qui collecte des informations système, y compris le nom d'hôte, l'UUID, les informations CPU, la configuration réseau et les processus en cours d'exécution

Il dispose d'extensions pour les navigateurs Chrome, Firefox, Safari, Brave, Opera et Vivaldi. Les informations sont transmises au serveur de commande et de contrôle via de simples requêtes POST curl sur les ports 8888 et 9999.

Le module persistant minst2.bin dépose un fichier plist LaunchAgent (com.onedrive.launcher.plist), qui assure le lancement du malware à chaque connexion de l'utilisateur en se faisant passer pour un processus légitime appelé « OneDrive » ou « Service Antivirus ».

Macrasv2, la dernière charge utile responsable du vol de données du système, collecte des informations à partir des détails de connexion des navigateurs et des cookies trouvés dans les bases de données SQLite ainsi que des entrées sensibles du Trésorier (Keychain). Toutes les données collectées sont ensuite compressées et envoyées via l'API du bot Telegram, dont le jeton a été exposé publiquement.

L'héritage dévastateur du groupe Lazarus dans la crypto et la technologie américaine

Le lancement de « Mach-O Man » s'inscrit dans les efforts à long terme du groupe Lazarus pour mener des cyberattaques à des fins lucratives. Ils ont entraîné d'énormes pertes pour le monde de la crypto, en particulier pour ceux basés aux États-Unis.

Ce groupe a été identifié comme impliqué dans certains des plus grands vols de l'histoire de la crypto, tels que le vol de 625 millions de dollars du réseau Ronin (Axie Infinity), le vol de 1,5 milliard de dollars de Bybit, le vol de 308 millions de dollars de DMM Bitcoin, le vol de 292 millions de dollars de KelpDAO, le vol de 285 millions de dollars de Drift, et 235 millions de dollars de WazirX.