Il gruppo Lazarus della Corea del Nord mira a crypto e alti dirigenti con il kit malware macOS 'Mach-O Man'
- Il gruppo Lazarus della Corea del Nord ha lanciato 'Mach-O Man', un sofisticato kit malware che colpisce gli utenti macOS nel settore delle criptovalute e della fintech.
- Il malware ruba credenziali del browser, cookie, dati del keychain e informazioni di sistema.
- Questa tecnologia estende la portata del gruppo Lazarus verso dirigenti di alto livello e sviluppatori che gestiscono portafogli e chiavi critiche su dispositivi Apple.
Il modulo persistente minst2.bin scarica un file plist LaunchAgent (com.onedrive.launcher.plist), che garantisce che il malware venga avviato ogni volta che l'utente accede, fingendosi un processo legittimo chiamato "OneDrive" o "Antivirus Service."
Macrasv2, l'ultimo payload responsabile dello furto di dati dal sistema, raccoglie informazioni dai dettagli di accesso del browser e dai cookie trovati nei database SQLite nonché dalle voci sensibili della Chiave. Tutti i dati raccolti vengono poi compressi in un file zip e inviati tramite l'API del bot Telegram, il cui token è stato esposto in superficie.
Il devastante retaggio del gruppo Lazarus nel crypto e nella tecnologia USA
Il lancio di "Mach-O Man" è in linea con gli sforzi a lungo termine del gruppo Lazarus per portare a termine cyberattacchi per guadagno finanziario. Hanno causato enormi perdite per il mondo crypto, in particolare quelle basate negli Stati Uniti.
Questo gruppo è stato identificato come coinvolto in alcuni dei più grandi furti nella storia delle criptovalute, come il furto da 625 milioni di dollari dalla Ronin Network (Axie Infinity), il furto da 1,5 miliardi di dollari da Bybit, il furto da 308 milioni di dollari da DMM Bitcoin, il furto da 292 milioni di dollari da KelpDAO, il furto da 285 milioni di dollari da Drift e 235 milioni da WazirX.
Il malware "Mach-O Man" utilizza più fasi, ciascuna con binari Mach-O compilati in Go. Il malware contiene un modulo profiler che raccoglie informazioni di sistema, incluso l'hostname, l'UUID, le informazioni sulla CPU, la configurazione di rete e i processi in esecuzione
Ha estensioni per i browser Chrome, Firefox, Safari, Brave, Opera e Vivaldi. Le informazioni vengono trasmesse al server di comando e controllo tramite semplici richieste POST curl sulle porte 8888 e 9999.
Il modulo persistente minst2.bin scarica un file plist LaunchAgent (com.onedrive.launcher.plist), che garantisce che il malware venga avviato ogni volta che l'utente accede, fingendosi un processo legittimo chiamato "OneDrive" o "Antivirus Service."
Macrasv2, l'ultimo payload responsabile dello furto di dati dal sistema, raccoglie informazioni dai dettagli di accesso del browser e dai cookie trovati nei database SQLite nonché dalle voci sensibili della Chiave. Tutti i dati raccolti vengono poi compressi in un file zip e inviati tramite l'API del bot Telegram, il cui token è stato esposto in superficie.
Il devastante retaggio del gruppo Lazarus nel crypto e nella tecnologia USA
Il lancio di "Mach-O Man" è in linea con gli sforzi a lungo termine del gruppo Lazarus per portare a termine cyberattacchi per guadagno finanziario. Hanno causato enormi perdite per il mondo crypto, in particolare quelle basate negli Stati Uniti.
Questo gruppo è stato identificato come coinvolto in alcuni dei più grandi furti nella storia delle criptovalute, come il furto da 625 milioni di dollari dalla Ronin Network (Axie Infinity), il furto da 1,5 miliardi di dollari da Bybit, il furto da 308 milioni di dollari da DMM Bitcoin, il furto da 292 milioni di dollari da KelpDAO, il furto da 285 milioni di dollari da Drift e 235 milioni da WazirX.
Il malware "Mach-O Man" utilizza più fasi, ciascuna con binari Mach-O compilati in Go. Il malware contiene un modulo profiler che raccoglie informazioni di sistema, incluso l'hostname, l'UUID, le informazioni sulla CPU, la configurazione di rete e i processi in esecuzione
Ha estensioni per i browser Chrome, Firefox, Safari, Brave, Opera e Vivaldi. Le informazioni vengono trasmesse al server di comando e controllo tramite semplici richieste POST curl sulle porte 8888 e 9999.
Il modulo persistente minst2.bin scarica un file plist LaunchAgent (com.onedrive.launcher.plist), che garantisce che il malware venga avviato ogni volta che l'utente accede, fingendosi un processo legittimo chiamato "OneDrive" o "Antivirus Service."
Macrasv2, l'ultimo payload responsabile dello furto di dati dal sistema, raccoglie informazioni dai dettagli di accesso del browser e dai cookie trovati nei database SQLite nonché dalle voci sensibili della Chiave. Tutti i dati raccolti vengono poi compressi in un file zip e inviati tramite l'API del bot Telegram, il cui token è stato esposto in superficie.
Il devastante retaggio del gruppo Lazarus nel crypto e nella tecnologia USA
Il lancio di "Mach-O Man" è in linea con gli sforzi a lungo termine del gruppo Lazarus per portare a termine cyberattacchi per guadagno finanziario. Hanno causato enormi perdite per il mondo crypto, in particolare quelle basate negli Stati Uniti.
Questo gruppo è stato identificato come coinvolto in alcuni dei più grandi furti nella storia delle criptovalute, come il furto da 625 milioni di dollari dalla Ronin Network (Axie Infinity), il furto da 1,5 miliardi di dollari da Bybit, il furto da 308 milioni di dollari da DMM Bitcoin, il furto da 292 milioni di dollari da KelpDAO, il furto da 285 milioni di dollari da Drift e 235 milioni da WazirX.
Dopo aver completato il processo di installazione fittizio, lo stealer inizia l'impronta digitale del sistema, la configurazione della persistenza e l'installazione del payload.
A differenza di altre tecniche che coinvolgono exploit complessi, questa non lo fa. Questo la rende molto efficace su target preziosi che potrebbero gestire diverse chiamate simultanee mentre copiano i comandi senza verificarli.
All'interno del malware Mach-O Man
Il malware "Mach-O Man" utilizza più fasi, ciascuna con binari Mach-O compilati in Go. Il malware contiene un modulo profiler che raccoglie informazioni di sistema, incluso l'hostname, l'UUID, le informazioni sulla CPU, la configurazione di rete e i processi in esecuzione
Ha estensioni per i browser Chrome, Firefox, Safari, Brave, Opera e Vivaldi. Le informazioni vengono trasmesse al server di comando e controllo tramite semplici richieste POST curl sulle porte 8888 e 9999.
Il modulo persistente minst2.bin scarica un file plist LaunchAgent (com.onedrive.launcher.plist), che garantisce che il malware venga avviato ogni volta che l'utente accede, fingendosi un processo legittimo chiamato "OneDrive" o "Antivirus Service."
Macrasv2, l'ultimo payload responsabile dello furto di dati dal sistema, raccoglie informazioni dai dettagli di accesso del browser e dai cookie trovati nei database SQLite nonché dalle voci sensibili della Chiave. Tutti i dati raccolti vengono poi compressi in un file zip e inviati tramite l'API del bot Telegram, il cui token è stato esposto in superficie.
Il devastante retaggio del gruppo Lazarus nel crypto e nella tecnologia USA
Il lancio di "Mach-O Man" è in linea con gli sforzi a lungo termine del gruppo Lazarus per portare a termine cyberattacchi per guadagno finanziario. Hanno causato enormi perdite per il mondo crypto, in particolare quelle basate negli Stati Uniti.
Questo gruppo è stato identificato come coinvolto in alcuni dei più grandi furti nella storia delle criptovalute, come il furto da 625 milioni di dollari dalla Ronin Network (Axie Infinity), il furto da 1,5 miliardi di dollari da Bybit, il furto da 308 milioni di dollari da DMM Bitcoin, il furto da 292 milioni di dollari da KelpDAO, il furto da 285 milioni di dollari da Drift e 235 milioni da WazirX.
Dopo aver completato il processo di installazione fittizio, lo stealer inizia l'impronta digitale del sistema, la configurazione della persistenza e l'installazione del payload.
A differenza di altre tecniche che coinvolgono exploit complessi, questa non lo fa. Questo la rende molto efficace su target preziosi che potrebbero gestire diverse chiamate simultanee mentre copiano i comandi senza verificarli.
All'interno del malware Mach-O Man
Il malware "Mach-O Man" utilizza più fasi, ciascuna con binari Mach-O compilati in Go. Il malware contiene un modulo profiler che raccoglie informazioni di sistema, incluso l'hostname, l'UUID, le informazioni sulla CPU, la configurazione di rete e i processi in esecuzione
Ha estensioni per i browser Chrome, Firefox, Safari, Brave, Opera e Vivaldi. Le informazioni vengono trasmesse al server di comando e controllo tramite semplici richieste POST curl sulle porte 8888 e 9999.
Il modulo persistente minst2.bin scarica un file plist LaunchAgent (com.onedrive.launcher.plist), che garantisce che il malware venga avviato ogni volta che l'utente accede, fingendosi un processo legittimo chiamato "OneDrive" o "Antivirus Service."
Macrasv2, l'ultimo payload responsabile dello furto di dati dal sistema, raccoglie informazioni dai dettagli di accesso del browser e dai cookie trovati nei database SQLite nonché dalle voci sensibili della Chiave. Tutti i dati raccolti vengono poi compressi in un file zip e inviati tramite l'API del bot Telegram, il cui token è stato esposto in superficie.
Il devastante retaggio del gruppo Lazarus nel crypto e nella tecnologia USA
Il lancio di "Mach-O Man" è in linea con gli sforzi a lungo termine del gruppo Lazarus per portare a termine cyberattacchi per guadagno finanziario. Hanno causato enormi perdite per il mondo crypto, in particolare quelle basate negli Stati Uniti.
Questo gruppo è stato identificato come coinvolto in alcuni dei più grandi furti nella storia delle criptovalute, come il furto da 625 milioni di dollari dalla Ronin Network (Axie Infinity), il furto da 1,5 miliardi di dollari da Bybit, il furto da 308 milioni di dollari da DMM Bitcoin, il furto da 292 milioni di dollari da KelpDAO, il furto da 285 milioni di dollari da Drift e 235 milioni da WazirX.
Dopo aver completato il processo di installazione fittizio, lo stealer inizia l'impronta digitale del sistema, la configurazione della persistenza e l'installazione del payload.
A differenza di altre tecniche che coinvolgono exploit complessi, questa non lo fa. Questo la rende molto efficace su target preziosi che potrebbero gestire diverse chiamate simultanee mentre copiano i comandi senza verificarli.
All'interno del malware Mach-O Man
Il malware "Mach-O Man" utilizza più fasi, ciascuna con binari Mach-O compilati in Go. Il malware contiene un modulo profiler che raccoglie informazioni di sistema, incluso l'hostname, l'UUID, le informazioni sulla CPU, la configurazione di rete e i processi in esecuzione
Ha estensioni per i browser Chrome, Firefox, Safari, Brave, Opera e Vivaldi. Le informazioni vengono trasmesse al server di comando e controllo tramite semplici richieste POST curl sulle porte 8888 e 9999.
Il modulo persistente minst2.bin scarica un file plist LaunchAgent (com.onedrive.launcher.plist), che garantisce che il malware venga avviato ogni volta che l'utente accede, fingendosi un processo legittimo chiamato "OneDrive" o "Antivirus Service."
Macrasv2, l'ultimo payload responsabile dello furto di dati dal sistema, raccoglie informazioni dai dettagli di accesso del browser e dai cookie trovati nei database SQLite nonché dalle voci sensibili della Chiave. Tutti i dati raccolti vengono poi compressi in un file zip e inviati tramite l'API del bot Telegram, il cui token è stato esposto in superficie.
Il devastante retaggio del gruppo Lazarus nel crypto e nella tecnologia USA
Il lancio di "Mach-O Man" è in linea con gli sforzi a lungo termine del gruppo Lazarus per portare a termine cyberattacchi per guadagno finanziario. Hanno causato enormi perdite per il mondo crypto, in particolare quelle basate negli Stati Uniti.
Questo gruppo è stato identificato come coinvolto in alcuni dei più grandi furti nella storia delle criptovalute, come il furto da 625 milioni di dollari dalla Ronin Network (Axie Infinity), il furto da 1,5 miliardi di dollari da Bybit, il furto da 308 milioni di dollari da DMM Bitcoin, il furto da 292 milioni di dollari da KelpDAO, il furto da 285 milioni di dollari da Drift e 235 milioni da WazirX.
Cliccando sul link si arriva a una pagina web apparentemente autentica che simula un messaggio di errore quando si tenta di connettersi a Zoom, Teams o Meet. Il sito web chiede quindi alla vittima di copiare e incollare una riga di codice apparentemente innocua nel Terminale del Mac per "risolvere" il problema.
In questo modo, la vittima può eludere i meccanismi di sicurezza di macOS, come Gatekeeper, poiché l'attacco origina dalla vittima stessa.
All'esecuzione, il codice installa un binario denominato teamsSDK.bin.
Lo stager scarica il bundle dell'app macOS fittizia e la firma digitalmente con lo strumento codesign nativo utilizzando una firma ad hoc. Chiede ripetutamente alla vittima la propria password, visualizzando messaggi scarsamente tradotti che appaiono autentici.
Dopo aver completato il processo di installazione fittizio, lo stealer inizia l'impronta digitale del sistema, la configurazione della persistenza e l'installazione del payload.
A differenza di altre tecniche che coinvolgono exploit complessi, questa non lo fa. Questo la rende molto efficace su target preziosi che potrebbero gestire diverse chiamate simultanee mentre copiano i comandi senza verificarli.
All'interno del malware Mach-O Man
Il malware "Mach-O Man" utilizza più fasi, ciascuna con binari Mach-O compilati in Go. Il malware contiene un modulo profiler che raccoglie informazioni di sistema, incluso l'hostname, l'UUID, le informazioni sulla CPU, la configurazione di rete e i processi in esecuzione
Ha estensioni per i browser Chrome, Firefox, Safari, Brave, Opera e Vivaldi. Le informazioni vengono trasmesse al server di comando e controllo tramite semplici richieste POST curl sulle porte 8888 e 9999.
Il modulo persistente minst2.bin scarica un file plist LaunchAgent (com.onedrive.launcher.plist), che garantisce che il malware venga avviato ogni volta che l'utente accede, fingendosi un processo legittimo chiamato "OneDrive" o "Antivirus Service."
Macrasv2, l'ultimo payload responsabile dello furto di dati dal sistema, raccoglie informazioni dai dettagli di accesso del browser e dai cookie trovati nei database SQLite nonché dalle voci sensibili della Chiave. Tutti i dati raccolti vengono poi compressi in un file zip e inviati tramite l'API del bot Telegram, il cui token è stato esposto in superficie.
Il devastante retaggio del gruppo Lazarus nel crypto e nella tecnologia USA
Il lancio di "Mach-O Man" è in linea con gli sforzi a lungo termine del gruppo Lazarus per portare a termine cyberattacchi per guadagno finanziario. Hanno causato enormi perdite per il mondo crypto, in particolare quelle basate negli Stati Uniti.
Questo gruppo è stato identificato come coinvolto in alcuni dei più grandi furti nella storia delle criptovalute, come il furto da 625 milioni di dollari dalla Ronin Network (Axie Infinity), il furto da 1,5 miliardi di dollari da Bybit, il furto da 308 milioni di dollari da DMM Bitcoin, il furto da 292 milioni di dollari da KelpDAO, il furto da 285 milioni di dollari da Drift e 235 milioni da WazirX.
Cliccando sul link si arriva a una pagina web apparentemente autentica che simula un messaggio di errore quando si tenta di connettersi a Zoom, Teams o Meet. Il sito web chiede quindi alla vittima di copiare e incollare una riga di codice apparentemente innocua nel Terminale del Mac per "risolvere" il problema.
In questo modo, la vittima può eludere i meccanismi di sicurezza di macOS, come Gatekeeper, poiché l'attacco origina dalla vittima stessa.
All'esecuzione, il codice installa un binario denominato teamsSDK.bin.
Lo stager scarica il bundle dell'app macOS fittizia e la firma digitalmente con lo strumento codesign nativo utilizzando una firma ad hoc. Chiede ripetutamente alla vittima la propria password, visualizzando messaggi scarsamente tradotti che appaiono autentici.
Dopo aver completato il processo di installazione fittizio, lo stealer inizia l'impronta digitale del sistema, la configurazione della persistenza e l'installazione del payload.
A differenza di altre tecniche che coinvolgono exploit complessi, questa non lo fa. Questo la rende molto efficace su target preziosi che potrebbero gestire diverse chiamate simultanee mentre copiano i comandi senza verificarli.
All'interno del malware Mach-O Man
Il malware "Mach-O Man" utilizza più fasi, ciascuna con binari Mach-O compilati in Go. Il malware contiene un modulo profiler che raccoglie informazioni di sistema, incluso l'hostname, l'UUID, le informazioni sulla CPU, la configurazione di rete e i processi in esecuzione
Ha estensioni per i browser Chrome, Firefox, Safari, Brave, Opera e Vivaldi. Le informazioni vengono trasmesse al server di comando e controllo tramite semplici richieste POST curl sulle porte 8888 e 9999.
Il modulo persistente minst2.bin scarica un file plist LaunchAgent (com.onedrive.launcher.plist), che garantisce che il malware venga avviato ogni volta che l'utente accede, fingendosi un processo legittimo chiamato "OneDrive" o "Antivirus Service."
Macrasv2, l'ultimo payload responsabile dello furto di dati dal sistema, raccoglie informazioni dai dettagli di accesso del browser e dai cookie trovati nei database SQLite nonché dalle voci sensibili della Chiave. Tutti i dati raccolti vengono poi compressi in un file zip e inviati tramite l'API del bot Telegram, il cui token è stato esposto in superficie.
Il devastante retaggio del gruppo Lazarus nel crypto e nella tecnologia USA
Il lancio di "Mach-O Man" è in linea con gli sforzi a lungo termine del gruppo Lazarus per portare a termine cyberattacchi per guadagno finanziario. Hanno causato enormi perdite per il mondo crypto, in particolare quelle basate negli Stati Uniti.
Questo gruppo è stato identificato come coinvolto in alcuni dei più grandi furti nella storia delle criptovalute, come il furto da 625 milioni di dollari dalla Ronin Network (Axie Infinity), il furto da 1,5 miliardi di dollari da Bybit, il furto da 308 milioni di dollari da DMM Bitcoin, il furto da 292 milioni di dollari da KelpDAO, il furto da 285 milioni di dollari da Drift e 235 milioni da WazirX.
Gli hacker della Corea del Nord prendono di mira gli utenti Mac
Come riportato, questo attacco sfrutta la fiducia che i dipendenti ripongono nei loro strumenti di comunicazione regolari, come Zoom, Microsoft Teams e Google Meet. Questo ha trasformato la collaborazione quotidiana in un vettore per attacchi a livello di sistema.
Il primo passo è un'esca di ingegneria sociale accuratamente costruita attraverso Telegram. Questa esca attira la vittima – sviluppatori, dirigenti e decisori nel settore fintech e crypto – in un invito a riunione urgente da parte dell'account di un collega compromesso.
Cliccando sul link si arriva a una pagina web apparentemente autentica che simula un messaggio di errore quando si tenta di connettersi a Zoom, Teams o Meet. Il sito web chiede quindi alla vittima di copiare e incollare una riga di codice apparentemente innocua nel Terminale del Mac per "risolvere" il problema.
In questo modo, la vittima può eludere i meccanismi di sicurezza di macOS, come Gatekeeper, poiché l'attacco origina dalla vittima stessa.
All'esecuzione, il codice installa un binario denominato teamsSDK.bin.
Lo stager scarica il bundle dell'app macOS fittizia e la firma digitalmente con lo strumento codesign nativo utilizzando una firma ad hoc. Chiede ripetutamente alla vittima la propria password, visualizzando messaggi scarsamente tradotti che appaiono autentici.
Dopo aver completato il processo di installazione fittizio, lo stealer inizia l'impronta digitale del sistema, la configurazione della persistenza e l'installazione del payload.
A differenza di altre tecniche che coinvolgono exploit complessi, questa non lo fa. Questo la rende molto efficace su target preziosi che potrebbero gestire diverse chiamate simultanee mentre copiano i comandi senza verificarli.
All'interno del malware Mach-O Man
Il malware "Mach-O Man" utilizza più fasi, ciascuna con binari Mach-O compilati in Go. Il malware contiene un modulo profiler che raccoglie informazioni di sistema, incluso l'hostname, l'UUID, le informazioni sulla CPU, la configurazione di rete e i processi in esecuzione
Ha estensioni per i browser Chrome, Firefox, Safari, Brave, Opera e Vivaldi. Le informazioni vengono trasmesse al server di comando e controllo tramite semplici richieste POST curl sulle porte 8888 e 9999.
Il modulo persistente minst2.bin scarica un file plist LaunchAgent (com.onedrive.launcher.plist), che garantisce che il malware venga avviato ogni volta che l'utente accede, fingendosi un processo legittimo chiamato "OneDrive" o "Antivirus Service."
Macrasv2, l'ultimo payload responsabile dello furto di dati dal sistema, raccoglie informazioni dai dettagli di accesso del browser e dai cookie trovati nei database SQLite nonché dalle voci sensibili della Chiave. Tutti i dati raccolti vengono poi compressi in un file zip e inviati tramite l'API del bot Telegram, il cui token è stato esposto in superficie.
Il devastante retaggio del gruppo Lazarus nel crypto e nella tecnologia USA
Il lancio di "Mach-O Man" è in linea con gli sforzi a lungo termine del gruppo Lazarus per portare a termine cyberattacchi per guadagno finanziario. Hanno causato enormi perdite per il mondo crypto, in particolare quelle basate negli Stati Uniti.
Questo gruppo è stato identificato come coinvolto in alcuni dei più grandi furti nella storia delle criptovalute, come il furto da 625 milioni di dollari dalla Ronin Network (Axie Infinity), il furto da 1,5 miliardi di dollari da Bybit, il furto da 308 milioni di dollari da DMM Bitcoin, il furto da 292 milioni di dollari da KelpDAO, il furto da 285 milioni di dollari da Drift e 235 milioni da WazirX.
Gli hacker della Corea del Nord prendono di mira gli utenti Mac
Come riportato, questo attacco sfrutta la fiducia che i dipendenti ripongono nei loro strumenti di comunicazione regolari, come Zoom, Microsoft Teams e Google Meet. Questo ha trasformato la collaborazione quotidiana in un vettore per attacchi a livello di sistema.
Il primo passo è un'esca di ingegneria sociale accuratamente costruita attraverso Telegram. Questa esca attira la vittima – sviluppatori, dirigenti e decisori nel settore fintech e crypto – in un invito a riunione urgente da parte dell'account di un collega compromesso.
Cliccando sul link si arriva a una pagina web apparentemente autentica che simula un messaggio di errore quando si tenta di connettersi a Zoom, Teams o Meet. Il sito web chiede quindi alla vittima di copiare e incollare una riga di codice apparentemente innocua nel Terminale del Mac per "risolvere" il problema.
In questo modo, la vittima può eludere i meccanismi di sicurezza di macOS, come Gatekeeper, poiché l'attacco origina dalla vittima stessa.
All'esecuzione, il codice installa un binario denominato teamsSDK.bin.
Lo stager scarica il bundle dell'app macOS fittizia e la firma digitalmente con lo strumento codesign nativo utilizzando una firma ad hoc. Chiede ripetutamente alla vittima la propria password, visualizzando messaggi scarsamente tradotti che appaiono autentici.
Dopo aver completato il processo di installazione fittizio, lo stealer inizia l'impronta digitale del sistema, la configurazione della persistenza e l'installazione del payload.
A differenza di altre tecniche che coinvolgono exploit complessi, questa non lo fa. Questo la rende molto efficace su target preziosi che potrebbero gestire diverse chiamate simultanee mentre copiano i comandi senza verificarli.
All'interno del malware Mach-O Man
Il malware "Mach-O Man" utilizza più fasi, ciascuna con binari Mach-O compilati in Go. Il malware contiene un modulo profiler che raccoglie informazioni di sistema, incluso l'hostname, l'UUID, le informazioni sulla CPU, la configurazione di rete e i processi in esecuzione
Ha estensioni per i browser Chrome, Firefox, Safari, Brave, Opera e Vivaldi. Le informazioni vengono trasmesse al server di comando e controllo tramite semplici richieste POST curl sulle porte 8888 e 9999.
Il modulo persistente minst2.bin scarica un file plist LaunchAgent (com.onedrive.launcher.plist), che garantisce che il malware venga avviato ogni volta che l'utente accede, fingendosi un processo legittimo chiamato "OneDrive" o "Antivirus Service."
Macrasv2, l'ultimo payload responsabile dello furto di dati dal sistema, raccoglie informazioni dai dettagli di accesso del browser e dai cookie trovati nei database SQLite nonché dalle voci sensibili della Chiave. Tutti i dati raccolti vengono poi compressi in un file zip e inviati tramite l'API del bot Telegram, il cui token è stato esposto in superficie.
Il devastante retaggio del gruppo Lazarus nel crypto e nella tecnologia USA
Il lancio di "Mach-O Man" è in linea con gli sforzi a lungo termine del gruppo Lazarus per portare a termine cyberattacchi per guadagno finanziario. Hanno causato enormi perdite per il mondo crypto, in particolare quelle basate negli Stati Uniti.
Questo gruppo è stato identificato come coinvolto in alcuni dei più grandi furti nella storia delle criptovalute, come il furto da 625 milioni di dollari dalla Ronin Network (Axie Infinity), il furto da 1,5 miliardi di dollari da Bybit, il furto da 308 milioni di dollari da DMM Bitcoin, il furto da 292 milioni di dollari da KelpDAO, il furto da 285 milioni di dollari da Drift e 235 milioni da WazirX.
Il gruppo Lazarus della Corea del Nord ha lanciato malware avanzato che prende di mira i dispositivi macOS. Mach-O Man, come viene chiamato, è progettato per colpire le aziende crypto, le organizzazioni fintech e i dirigenti chiave che utilizzano Mac per le transazioni finanziarie.
L'attacco è stato identificato per la prima volta a metà aprile 2026. Utilizza app da ufficio popolari come Zoom, Microsoft Teams e Google Meet per lanciare attacchi di ingegneria sociale.
Gli hacker della Corea del Nord prendono di mira gli utenti Mac
Come riportato, questo attacco sfrutta la fiducia che i dipendenti ripongono nei loro strumenti di comunicazione regolari, come Zoom, Microsoft Teams e Google Meet. Questo ha trasformato la collaborazione quotidiana in un vettore per attacchi a livello di sistema.
Il primo passo è un'esca di ingegneria sociale accuratamente costruita attraverso Telegram. Questa esca attira la vittima – sviluppatori, dirigenti e decisori nel settore fintech e crypto – in un invito a riunione urgente da parte dell'account di un collega compromesso.
Cliccando sul link si arriva a una pagina web apparentemente autentica che simula un messaggio di errore quando si tenta di connettersi a Zoom, Teams o Meet. Il sito web chiede quindi alla vittima di copiare e incollare una riga di codice apparentemente innocua nel Terminale del Mac per "risolvere" il problema.
In questo modo, la vittima può eludere i meccanismi di sicurezza di macOS, come Gatekeeper, poiché l'attacco origina dalla vittima stessa.
All'esecuzione, il codice installa un binario denominato teamsSDK.bin.
Lo stager scarica il bundle dell'app macOS fittizia e la firma digitalmente con lo strumento codesign nativo utilizzando una firma ad hoc. Chiede ripetutamente alla vittima la propria password, visualizzando messaggi scarsamente tradotti che appaiono autentici.
Dopo aver completato il processo di installazione fittizio, lo stealer inizia l'impronta digitale del sistema, la configurazione della persistenza e l'installazione del payload.
A differenza di altre tecniche che coinvolgono exploit complessi, questa non lo fa. Questo la rende molto efficace su target preziosi che potrebbero gestire diverse chiamate simultanee mentre copiano i comandi senza verificarli.
All'interno del malware Mach-O Man
Il malware "Mach-O Man" utilizza più fasi, ciascuna con binari Mach-O compilati in Go. Il malware contiene un modulo profiler che raccoglie informazioni di sistema, incluso l'hostname, l'UUID, le informazioni sulla CPU, la configurazione di rete e i processi in esecuzione
Ha estensioni per i browser Chrome, Firefox, Safari, Brave, Opera e Vivaldi. Le informazioni vengono trasmesse al server di comando e controllo tramite semplici richieste POST curl sulle porte 8888 e 9999.
Il modulo persistente minst2.bin scarica un file plist LaunchAgent (com.onedrive.launcher.plist), che garantisce che il malware venga avviato ogni volta che l'utente accede, fingendosi un processo legittimo chiamato "OneDrive" o "Antivirus Service."
Macrasv2, l'ultimo payload responsabile dello furto di dati dal sistema, raccoglie informazioni dai dettagli di accesso del browser e dai cookie trovati nei database SQLite nonché dalle voci sensibili della Chiave. Tutti i dati raccolti vengono poi compressi in un file zip e inviati tramite l'API del bot Telegram, il cui token è stato esposto in superficie.
Il devastante retaggio del gruppo Lazarus nel crypto e nella tecnologia USA
Il lancio di "Mach-O Man" è in linea con gli sforzi a lungo termine del gruppo Lazarus per portare a termine cyberattacchi per guadagno finanziario. Hanno causato enormi perdite per il mondo crypto, in particolare quelle basate negli Stati Uniti.
Questo gruppo è stato identificato come coinvolto in alcuni dei più grandi furti nella storia delle criptovalute, come il furto da 625 milioni di dollari dalla Ronin Network (Axie Infinity), il furto da 1,5 miliardi di dollari da Bybit, il furto da 308 milioni di dollari da DMM Bitcoin, il furto da 292 milioni di dollari da KelpDAO, il furto da 285 milioni di dollari da Drift e 235 milioni da WazirX.
Il gruppo Lazarus della Corea del Nord ha lanciato malware avanzato che prende di mira i dispositivi macOS. Mach-O Man, come viene chiamato, è progettato per colpire le aziende crypto, le organizzazioni fintech e i dirigenti chiave che utilizzano Mac per le transazioni finanziarie.
L'attacco è stato identificato per la prima volta a metà aprile 2026. Utilizza app da ufficio popolari come Zoom, Microsoft Teams e Google Meet per lanciare attacchi di ingegneria sociale.
Gli hacker della Corea del Nord prendono di mira gli utenti Mac
Come riportato, questo attacco sfrutta la fiducia che i dipendenti ripongono nei loro strumenti di comunicazione regolari, come Zoom, Microsoft Teams e Google Meet. Questo ha trasformato la collaborazione quotidiana in un vettore per attacchi a livello di sistema.
Il primo passo è un'esca di ingegneria sociale accuratamente costruita attraverso Telegram. Questa esca attira la vittima – sviluppatori, dirigenti e decisori nel settore fintech e crypto – in un invito a riunione urgente da parte dell'account di un collega compromesso.
Cliccando sul link si arriva a una pagina web apparentemente autentica che simula un messaggio di errore quando si tenta di connettersi a Zoom, Teams o Meet. Il sito web chiede quindi alla vittima di copiare e incollare una riga di codice apparentemente innocua nel Terminale del Mac per "risolvere" il problema.
In questo modo, la vittima può eludere i meccanismi di sicurezza di macOS, come Gatekeeper, poiché l'attacco origina dalla vittima stessa.
All'esecuzione, il codice installa un binario denominato teamsSDK.bin.
Lo stager scarica il bundle dell'app macOS fittizia e la firma digitalmente con lo strumento codesign nativo utilizzando una firma ad hoc. Chiede ripetutamente alla vittima la propria password, visualizzando messaggi scarsamente tradotti che appaiono autentici.
Dopo aver completato il processo di installazione fittizio, lo stealer inizia l'impronta digitale del sistema, la configurazione della persistenza e l'installazione del payload.
A differenza di altre tecniche che coinvolgono exploit complessi, questa non lo fa. Questo la rende molto efficace su target preziosi che potrebbero gestire diverse chiamate simultanee mentre copiano i comandi senza verificarli.
All'interno del malware Mach-O Man
Il malware "Mach-O Man" utilizza più fasi, ciascuna con binari Mach-O compilati in Go. Il malware contiene un modulo profiler che raccoglie informazioni di sistema, incluso l'hostname, l'UUID, le informazioni sulla CPU, la configurazione di rete e i processi in esecuzione
Ha estensioni per i browser Chrome, Firefox, Safari, Brave, Opera e Vivaldi. Le informazioni vengono trasmesse al server di comando e controllo tramite semplici richieste POST curl sulle porte 8888 e 9999.
Il modulo persistente minst2.bin scarica un file plist LaunchAgent (com.onedrive.launcher.plist), che garantisce che il malware venga avviato ogni volta che l'utente accede, fingendosi un processo legittimo chiamato "OneDrive" o "Antivirus Service."
Macrasv2, l'ultimo payload responsabile dello furto di dati dal sistema, raccoglie informazioni dai dettagli di accesso del browser e dai cookie trovati nei database SQLite nonché dalle voci sensibili della Chiave. Tutti i dati raccolti vengono poi compressi in un file zip e inviati tramite l'API del bot Telegram, il cui token è stato esposto in superficie.
Il devastante retaggio del gruppo Lazarus nel crypto e nella tecnologia USA
Il lancio di "Mach-O Man" è in linea con gli sforzi a lungo termine del gruppo Lazarus per portare a termine cyberattacchi per guadagno finanziario. Hanno causato enormi perdite per il mondo crypto, in particolare quelle basate negli Stati Uniti.
Questo gruppo è stato identificato come coinvolto in alcuni dei più grandi furti nella storia delle criptovalute, come il furto da 625 milioni di dollari dalla Ronin Network (Axie Infinity), il furto da 1,5 miliardi di dollari da Bybit, il furto da 308 milioni di dollari da DMM Bitcoin, il furto da 292 milioni di dollari da KelpDAO, il furto da 285 milioni di dollari da Drift e 235 milioni da WazirX.
I cervelli più intelligenti del crypto leggono già la nostra newsletter. Vuoi unirti a loro? Unisciti a loro.
Dichiarazione di responsabilità. Le informazioni fornite non costituiscono consigli di trading. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti effettuati sulla base delle informazioni fornite in questa pagina. Si consiglia vivamente di effettuare ricerche indipendenti e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Florence Muchai
Florence si occupa di notizie relative a criptovalute, gaming, tecnologia e AI da oltre 6 anni. I suoi studi in Informatica presso l'Università Meru di Scienze e Tecnologia e in Gestione delle Emergenze e Diplomazia Internazionale presso il MMUST le hanno fornito eccellenti competenze linguistiche, osservative e tecniche. Florence ha lavorato al VAP Group e come editor per diverse testate specializzate in criptovalute.
