北朝鮮のラザルス・グループが、macOSマルウェアキット『Mach-O Man』を使って暗号通貨と高価値の執行役員を狙う

北朝鮮のラザラスグループが、高価値な経営陣を対象とした「Mach-O Man」macOSマルウェアキットで暗号通貨を狙う

永続化モジュールのminst2.binは、LaunchAgent plistファイル（com.onedrive.launcher.plist）をドロップし、ユーザーがログインするたびにマルウェアが「OneDrive」または「Antivirus Service」という正当なプロセスに成りすまして起動するようにします。

Macrasv2は、システムからデータを盗む最後のペイロードであり、SQLiteデータベース内のブラウザログイン情報とCookie、および機密性の高いKeychainエントリから情報を収集します。収集されたすべてのデータは圧縮され、表面に露出していたトークンを持つTelegramボットAPIを介して送信されます。

ラザラスグループの暗号通貨および米国テックへの壊滅的な遺産

このグループは、Ronin Network（Axie Infinity）からの6億2500万ドルの盗難、Bybitからの15億ドルの盗難、DMM Bitcoinからの3億800万ドルの盗難、KelpDAOからの2億9200万ドルの盗難、Driftからの2億8500万ドルの盗難、WazirXからの2億3500万ドルの盗難など、暗号通貨史上最大の盗難事件のいくつかに関与していると特定されています。

「Mach-O Man」の登場は、ラザラスグループが金銭的利益のためにサイバー攻撃を実行するという長期的な取り組みに沿ったものです。これらは、特に米国に拠点を置く企業にとって、暗号通貨世界に大きな損失をもたらしました。

「Mach-O Man」マルウェアは複数のステージを使用し、それぞれがGoでコンパイルされたMach-Oバイナリを含みます。マルウェアには、ホスト名、UUID、CPU情報、ネットワーク構成、および実行中のプロセスを含むシステム情報を収集するプロファイラーモジュールが含まれています。

北朝鮮のラザラスグループが、高価値な経営陣を対象とした「Mach-O Man」macOSマルウェアキットで暗号通貨を狙う

永続化モジュールのminst2.binは、LaunchAgent plistファイル（com.onedrive.launcher.plist）をドロップし、ユーザーがログインするたびにマルウェアが「OneDrive」または「Antivirus Service」という正当なプロセスに成りすまして起動するようにします。

Macrasv2は、システムからデータを盗む最後のペイロードであり、SQLiteデータベース内のブラウザログイン情報とCookie、および機密性の高いKeychainエントリから情報を収集します。収集されたすべてのデータは圧縮され、表面に露出していたトークンを持つTelegramボットAPIを介して送信されます。

ラザラスグループの暗号通貨および米国テックへの壊滅的な遺産

このグループは、Ronin Network（Axie Infinity）からの6億2500万ドルの盗難、Bybitからの15億ドルの盗難、DMM Bitcoinからの3億800万ドルの盗難、KelpDAOからの2億9200万ドルの盗難、Driftからの2億8500万ドルの盗難、WazirXからの2億3500万ドルの盗難など、暗号通貨史上最大の盗難事件のいくつかに関与していると特定されています。

「Mach-O Man」の登場は、ラザラスグループが金銭的利益のためにサイバー攻撃を実行するという長期的な取り組みに沿ったものです。これらは、特に米国に拠点を置く企業にとって、暗号通貨世界に大きな損失をもたらしました。

「Mach-O Man」マルウェアは複数のステージを使用し、それぞれがGoでコンパイルされたMach-Oバイナリを含みます。マルウェアには、ホスト名、UUID、CPU情報、ネットワーク構成、および実行中のプロセスを含むシステム情報を収集するプロファイラーモジュールが含まれています。

北朝鮮のラザラスグループが、高価値な経営陣を対象とした「Mach-O Man」macOSマルウェアキットで暗号通貨を狙う

永続化モジュールのminst2.binは、LaunchAgent plistファイル（com.onedrive.launcher.plist）をドロップし、ユーザーがログインするたびにマルウェアが「OneDrive」または「Antivirus Service」という正当なプロセスに成りすまして起動するようにします。

Macrasv2は、システムからデータを盗む最後のペイロードであり、SQLiteデータベース内のブラウザログイン情報とCookie、および機密性の高いKeychainエントリから情報を収集します。収集されたすべてのデータは圧縮され、表面に露出していたトークンを持つTelegramボットAPIを介して送信されます。

ラザラスグループの暗号通貨および米国テックへの壊滅的な遺産

このグループは、Ronin Network（Axie Infinity）からの6億2500万ドルの盗難、Bybitからの15億ドルの盗難、DMM Bitcoinからの3億800万ドルの盗難、KelpDAOからの2億9200万ドルの盗難、Driftからの2億8500万ドルの盗難、WazirXからの2億3500万ドルの盗難など、暗号通貨史上最大の盗難事件のいくつかに関与していると特定されています。

Chrome、Firefox、Safari、Brave、Opera、Vivaldiブラウザ用の拡張機能があります。情報は、ポート8888および9999での単純なcurl POSTリクエストを介してコマンド・アンド・コントロールサーバーに送信されます。

偽のインストールプロセスが完了すると、スティーラーはシステムの指紋取得、永続化設定、およびペイロードのインストールを開始します。

他の複雑なエクスプロイトを伴う手法とは異なり、これは伴いません。これにより、複数の同時通話を処理しながら、確認せずにコマンドをコピーする価値ある標的に対して非常に効果的です。

「Mach-O Man」の登場は、ラザラスグループが金銭的利益のためにサイバー攻撃を実行するという長期的な取り組みに沿ったものです。これらは、特に米国に拠点を置く企業にとって、暗号通貨世界に大きな損失をもたらしました。

「Mach-O Man」マルウェアは複数のステージを使用し、それぞれがGoでコンパイルされたMach-Oバイナリを含みます。マルウェアには、ホスト名、UUID、CPU情報、ネットワーク構成、および実行中のプロセスを含むシステム情報を収集するプロファイラーモジュールが含まれています。

北朝鮮のラザラスグループが、高価値な経営陣を対象とした「Mach-O Man」macOSマルウェアキットで暗号通貨を狙う

永続化モジュールのminst2.binは、LaunchAgent plistファイル（com.onedrive.launcher.plist）をドロップし、ユーザーがログインするたびにマルウェアが「OneDrive」または「Antivirus Service」という正当なプロセスに成りすまして起動するようにします。

Macrasv2は、システムからデータを盗む最後のペイロードであり、SQLiteデータベース内のブラウザログイン情報とCookie、および機密性の高いKeychainエントリから情報を収集します。収集されたすべてのデータは圧縮され、表面に露出していたトークンを持つTelegramボットAPIを介して送信されます。

ラザラスグループの暗号通貨および米国テックへの壊滅的な遺産

このグループは、Ronin Network（Axie Infinity）からの6億2500万ドルの盗難、Bybitからの15億ドルの盗難、DMM Bitcoinからの3億800万ドルの盗難、KelpDAOからの2億9200万ドルの盗難、Driftからの2億8500万ドルの盗難、WazirXからの2億3500万ドルの盗難など、暗号通貨史上最大の盗難事件のいくつかに関与していると特定されています。

Chrome、Firefox、Safari、Brave、Opera、Vivaldiブラウザ用の拡張機能があります。情報は、ポート8888および9999での単純なcurl POSTリクエストを介してコマンド・アンド・コントロールサーバーに送信されます。

偽のインストールプロセスが完了すると、スティーラーはシステムの指紋取得、永続化設定、およびペイロードのインストールを開始します。

他の複雑なエクスプロイトを伴う手法とは異なり、これは伴いません。これにより、複数の同時通話を処理しながら、確認せずにコマンドをコピーする価値ある標的に対して非常に効果的です。

「Mach-O Man」の登場は、ラザラスグループが金銭的利益のためにサイバー攻撃を実行するという長期的な取り組みに沿ったものです。これらは、特に米国に拠点を置く企業にとって、暗号通貨世界に大きな損失をもたらしました。

「Mach-O Man」マルウェアは複数のステージを使用し、それぞれがGoでコンパイルされたMach-Oバイナリを含みます。マルウェアには、ホスト名、UUID、CPU情報、ネットワーク構成、および実行中のプロセスを含むシステム情報を収集するプロファイラーモジュールが含まれています。

北朝鮮のラザラスグループが、高価値な経営陣を対象とした「Mach-O Man」macOSマルウェアキットで暗号通貨を狙う

永続化モジュールのminst2.binは、LaunchAgent plistファイル（com.onedrive.launcher.plist）をドロップし、ユーザーがログインするたびにマルウェアが「OneDrive」または「Antivirus Service」という正当なプロセスに成りすまして起動するようにします。

Macrasv2は、システムからデータを盗む最後のペイロードであり、SQLiteデータベース内のブラウザログイン情報とCookie、および機密性の高いKeychainエントリから情報を収集します。収集されたすべてのデータは圧縮され、表面に露出していたトークンを持つTelegramボットAPIを介して送信されます。

ラザラスグループの暗号通貨および米国テックへの壊滅的な遺産

このグループは、Ronin Network（Axie Infinity）からの6億2500万ドルの盗難、Bybitからの15億ドルの盗難、DMM Bitcoinからの3億800万ドルの盗難、KelpDAOからの2億9200万ドルの盗難、Driftからの2億8500万ドルの盗難、WazirXからの2億3500万ドルの盗難など、暗号通貨史上最大の盗難事件のいくつかに関与していると特定されています。

Chrome、Firefox、Safari、Brave、Opera、Vivaldiブラウザ用の拡張機能があります。情報は、ポート8888および9999での単純なcurl POSTリクエストを介してコマンド・アンド・コントロールサーバーに送信されます。

偽のインストールプロセスが完了すると、スティーラーはシステムの指紋取得、永続化設定、およびペイロードのインストールを開始します。

他の複雑なエクスプロイトを伴う手法とは異なり、これは伴いません。これにより、複数の同時通話を処理しながら、確認せずにコマンドをコピーする価値ある標的に対して非常に効果的です。

「Mach-O Man」の登場は、ラザラスグループが金銭的利益のためにサイバー攻撃を実行するという長期的な取り組みに沿ったものです。これらは、特に米国に拠点を置く企業にとって、暗号通貨世界に大きな損失をもたらしました。

「Mach-O Man」マルウェアは複数のステージを使用し、それぞれがGoでコンパイルされたMach-Oバイナリを含みます。マルウェアには、ホスト名、UUID、CPU情報、ネットワーク構成、および実行中のプロセスを含むシステム情報を収集するプロファイラーモジュールが含まれています。

北朝鮮のラザラスグループが、高価値な経営陣を対象とした「Mach-O Man」macOSマルウェアキットで暗号通貨を狙う

永続化モジュールのminst2.binは、LaunchAgent plistファイル（com.onedrive.launcher.plist）をドロップし、ユーザーがログインするたびにマルウェアが「OneDrive」または「Antivirus Service」という正当なプロセスに成りすまして起動するようにします。

Macrasv2は、システムからデータを盗む最後のペイロードであり、SQLiteデータベース内のブラウザログイン情報とCookie、および機密性の高いKeychainエントリから情報を収集します。収集されたすべてのデータは圧縮され、表面に露出していたトークンを持つTelegramボットAPIを介して送信されます。

ラザラスグループの暗号通貨および米国テックへの壊滅的な遺産

このグループは、Ronin Network（Axie Infinity）からの6億2500万ドルの盗難、Bybitからの15億ドルの盗難、DMM Bitcoinからの3億800万ドルの盗難、KelpDAOからの2億9200万ドルの盗難、Driftからの2億8500万ドルの盗難、WazirXからの2億3500万ドルの盗難など、暗号通貨史上最大の盗難事件のいくつかに関与していると特定されています。

偽のアプリへのMach-O Manマルウェアのインストール。出典: AnyRun

このグループは、Ronin Network（Axie Infinity）からの6億2,500万ドルの盗難、Bybitからの15億ドルの盗難、DMM Bitcoinからの3億800万ドルの盗難、KelpDAOからの2億9,200万ドルの盗難、Driftからの2億8,500万ドルの盗難、WazirXからの2億3,500万ドルの盗難など、暗号通貨史上最大の盗難事件のいくつかに関与していると特定されています。

リンクをクリックすると、Zoom、Teams、またはMeetへの接続を試みる際にエラーメッセージをシミュレートする一見正当なウェブページに誘導されます。その後、ウェブサイトは被害者に、問題を「解決」するためにMacのターミナルに一見無害なコード行をコピー＆ペーストするよう求めます。

実行されると、teamsSDK.binという名前のバイナリがインストールされます。 

Chrome、Firefox、Safari、Brave、Opera、Vivaldiブラウザ用の拡張機能があります。情報は、ポート8888および9999での単純なcurl POSTリクエストを介してコマンド・アンド・コントロールサーバーに送信されます。

偽のインストールプロセスが完了すると、スティーラーはシステムの指紋取得、永続化設定、およびペイロードのインストールを開始します。

他の複雑なエクスプロイトを伴う手法とは異なり、これは伴いません。これにより、複数の同時通話を処理しながら、確認せずにコマンドをコピーする価値ある標的に対して非常に効果的です。

「Mach-O Man」の登場は、ラザラスグループが金銭的利益のためにサイバー攻撃を実行するという長期的な取り組みに沿ったものです。これらは、特に米国に拠点を置く企業にとって、暗号通貨世界に大きな損失をもたらしました。

「Mach-O Man」マルウェアは複数のステージを使用し、それぞれがGoでコンパイルされたMach-Oバイナリを含みます。マルウェアには、ホスト名、UUID、CPU情報、ネットワーク構成、および実行中のプロセスを含むシステム情報を収集するプロファイラーモジュールが含まれています。

北朝鮮のラザラスグループが、高価値な経営陣を対象とした「Mach-O Man」macOSマルウェアキットで暗号通貨を狙う

永続化モジュールのminst2.binは、LaunchAgent plistファイル（com.onedrive.launcher.plist）をドロップし、ユーザーがログインするたびにマルウェアが「OneDrive」または「Antivirus Service」という正当なプロセスに成りすまして起動するようにします。

Macrasv2は、システムからデータを盗む最後のペイロードであり、SQLiteデータベース内のブラウザログイン情報とCookie、および機密性の高いKeychainエントリから情報を収集します。収集されたすべてのデータは圧縮され、表面に露出していたトークンを持つTelegramボットAPIを介して送信されます。

ラザラスグループの暗号通貨および米国テックへの壊滅的な遺産

このグループは、Ronin Network（Axie Infinity）からの6億2500万ドルの盗難、Bybitからの15億ドルの盗難、DMM Bitcoinからの3億800万ドルの盗難、KelpDAOからの2億9200万ドルの盗難、Driftからの2億8500万ドルの盗難、WazirXからの2億3500万ドルの盗難など、暗号通貨史上最大の盗難事件のいくつかに関与していると特定されています。

偽のアプリへのMach-O Manマルウェアのインストール。出典: AnyRun

このグループは、Ronin Network（Axie Infinity）からの6億2,500万ドルの盗難、Bybitからの15億ドルの盗難、DMM Bitcoinからの3億800万ドルの盗難、KelpDAOからの2億9,200万ドルの盗難、Driftからの2億8,500万ドルの盗難、WazirXからの2億3,500万ドルの盗難など、暗号通貨史上最大の盗難事件のいくつかに関与していると特定されています。

リンクをクリックすると、Zoom、Teams、またはMeetへの接続を試みる際にエラーメッセージをシミュレートする一見正当なウェブページに誘導されます。その後、ウェブサイトは被害者に、問題を「解決」するためにMacのターミナルに一見無害なコード行をコピー＆ペーストするよう求めます。

実行されると、teamsSDK.binという名前のバイナリがインストールされます。 

Chrome、Firefox、Safari、Brave、Opera、Vivaldiブラウザ用の拡張機能があります。情報は、ポート8888および9999での単純なcurl POSTリクエストを介してコマンド・アンド・コントロールサーバーに送信されます。

偽のインストールプロセスが完了すると、スティーラーはシステムの指紋取得、永続化設定、およびペイロードのインストールを開始します。

他の複雑なエクスプロイトを伴う手法とは異なり、これは伴いません。これにより、複数の同時通話を処理しながら、確認せずにコマンドをコピーする価値ある標的に対して非常に効果的です。

「Mach-O Man」の登場は、ラザラスグループが金銭的利益のためにサイバー攻撃を実行するという長期的な取り組みに沿ったものです。これらは、特に米国に拠点を置く企業にとって、暗号通貨世界に大きな損失をもたらしました。

「Mach-O Man」マルウェアは複数のステージを使用し、それぞれがGoでコンパイルされたMach-Oバイナリを含みます。マルウェアには、ホスト名、UUID、CPU情報、ネットワーク構成、および実行中のプロセスを含むシステム情報を収集するプロファイラーモジュールが含まれています。

北朝鮮のラザラスグループが、高価値な経営陣を対象とした「Mach-O Man」macOSマルウェアキットで暗号通貨を狙う

永続化モジュールのminst2.binは、LaunchAgent plistファイル（com.onedrive.launcher.plist）をドロップし、ユーザーがログインするたびにマルウェアが「OneDrive」または「Antivirus Service」という正当なプロセスに成りすまして起動するようにします。

Macrasv2は、システムからデータを盗む最後のペイロードであり、SQLiteデータベース内のブラウザログイン情報とCookie、および機密性の高いKeychainエントリから情報を収集します。収集されたすべてのデータは圧縮され、表面に露出していたトークンを持つTelegramボットAPIを介して送信されます。

ラザラスグループの暗号通貨および米国テックへの壊滅的な遺産

このグループは、Ronin Network（Axie Infinity）からの6億2500万ドルの盗難、Bybitからの15億ドルの盗難、DMM Bitcoinからの3億800万ドルの盗難、KelpDAOからの2億9200万ドルの盗難、Driftからの2億8500万ドルの盗難、WazirXからの2億3500万ドルの盗難など、暗号通貨史上最大の盗難事件のいくつかに関与していると特定されています。

北朝鮮のハッカーがMacユーザーを狙う

報告によると、この攻撃は、Zoom、Microsoft Teams、Google Meetなどの通常のコミュニケーションツールに対する従業員の信頼を利用しています。これにより、日常の協業がシステムレベルの攻撃の経路となっています。

これにより、被害者は攻撃が被害者自身から始まるため、GatekeeperなどのmacOSのセキュリティメカニズムを回避できます。

偽のアプリへのMach-O Manマルウェアのインストール。出典: AnyRun

このグループは、Ronin Network（Axie Infinity）からの6億2,500万ドルの盗難、Bybitからの15億ドルの盗難、DMM Bitcoinからの3億800万ドルの盗難、KelpDAOからの2億9,200万ドルの盗難、Driftからの2億8,500万ドルの盗難、WazirXからの2億3,500万ドルの盗難など、暗号通貨史上最大の盗難事件のいくつかに関与していると特定されています。

リンクをクリックすると、Zoom、Teams、またはMeetへの接続を試みる際にエラーメッセージをシミュレートする一見正当なウェブページに誘導されます。その後、ウェブサイトは被害者に、問題を「解決」するためにMacのターミナルに一見無害なコード行をコピー＆ペーストするよう求めます。

実行されると、teamsSDK.binという名前のバイナリがインストールされます。 

Chrome、Firefox、Safari、Brave、Opera、Vivaldiブラウザ用の拡張機能があります。情報は、ポート8888および9999での単純なcurl POSTリクエストを介してコマンド・アンド・コントロールサーバーに送信されます。

偽のインストールプロセスが完了すると、スティーラーはシステムの指紋取得、永続化設定、およびペイロードのインストールを開始します。

他の複雑なエクスプロイトを伴う手法とは異なり、これは伴いません。これにより、複数の同時通話を処理しながら、確認せずにコマンドをコピーする価値ある標的に対して非常に効果的です。

「Mach-O Man」の登場は、ラザラスグループが金銭的利益のためにサイバー攻撃を実行するという長期的な取り組みに沿ったものです。これらは、特に米国に拠点を置く企業にとって、暗号通貨世界に大きな損失をもたらしました。

「Mach-O Man」マルウェアは複数のステージを使用し、それぞれがGoでコンパイルされたMach-Oバイナリを含みます。マルウェアには、ホスト名、UUID、CPU情報、ネットワーク構成、および実行中のプロセスを含むシステム情報を収集するプロファイラーモジュールが含まれています。

北朝鮮のラザラスグループが、高価値な経営陣を対象とした「Mach-O Man」macOSマルウェアキットで暗号通貨を狙う

永続化モジュールのminst2.binは、LaunchAgent plistファイル（com.onedrive.launcher.plist）をドロップし、ユーザーがログインするたびにマルウェアが「OneDrive」または「Antivirus Service」という正当なプロセスに成りすまして起動するようにします。

Macrasv2は、システムからデータを盗む最後のペイロードであり、SQLiteデータベース内のブラウザログイン情報とCookie、および機密性の高いKeychainエントリから情報を収集します。収集されたすべてのデータは圧縮され、表面に露出していたトークンを持つTelegramボットAPIを介して送信されます。

ラザラスグループの暗号通貨および米国テックへの壊滅的な遺産

このグループは、Ronin Network（Axie Infinity）からの6億2500万ドルの盗難、Bybitからの15億ドルの盗難、DMM Bitcoinからの3億800万ドルの盗難、KelpDAOからの2億9200万ドルの盗難、Driftからの2億8500万ドルの盗難、WazirXからの2億3500万ドルの盗難など、暗号通貨史上最大の盗難事件のいくつかに関与していると特定されています。

北朝鮮のハッカーがMacユーザーを狙う

報告によると、この攻撃は、Zoom、Microsoft Teams、Google Meetなどの通常のコミュニケーションツールに対する従業員の信頼を利用しています。これにより、日常の協業がシステムレベルの攻撃の経路となっています。

これにより、被害者は攻撃が被害者自身から始まるため、GatekeeperなどのmacOSのセキュリティメカニズムを回避できます。

偽のアプリへのMach-O Manマルウェアのインストール。出典: AnyRun

このグループは、Ronin Network（Axie Infinity）からの6億2,500万ドルの盗難、Bybitからの15億ドルの盗難、DMM Bitcoinからの3億800万ドルの盗難、KelpDAOからの2億9,200万ドルの盗難、Driftからの2億8,500万ドルの盗難、WazirXからの2億3,500万ドルの盗難など、暗号通貨史上最大の盗難事件のいくつかに関与していると特定されています。

リンクをクリックすると、Zoom、Teams、またはMeetへの接続を試みる際にエラーメッセージをシミュレートする一見正当なウェブページに誘導されます。その後、ウェブサイトは被害者に、問題を「解決」するためにMacのターミナルに一見無害なコード行をコピー＆ペーストするよう求めます。

実行されると、teamsSDK.binという名前のバイナリがインストールされます。 

Chrome、Firefox、Safari、Brave、Opera、Vivaldiブラウザ用の拡張機能があります。情報は、ポート8888および9999での単純なcurl POSTリクエストを介してコマンド・アンド・コントロールサーバーに送信されます。

偽のインストールプロセスが完了すると、スティーラーはシステムの指紋取得、永続化設定、およびペイロードのインストールを開始します。

他の複雑なエクスプロイトを伴う手法とは異なり、これは伴いません。これにより、複数の同時通話を処理しながら、確認せずにコマンドをコピーする価値ある標的に対して非常に効果的です。

「Mach-O Man」の登場は、ラザラスグループが金銭的利益のためにサイバー攻撃を実行するという長期的な取り組みに沿ったものです。これらは、特に米国に拠点を置く企業にとって、暗号通貨世界に大きな損失をもたらしました。

「Mach-O Man」マルウェアは複数のステージを使用し、それぞれがGoでコンパイルされたMach-Oバイナリを含みます。マルウェアには、ホスト名、UUID、CPU情報、ネットワーク構成、および実行中のプロセスを含むシステム情報を収集するプロファイラーモジュールが含まれています。

北朝鮮のラザラスグループが、高価値な経営陣を対象とした「Mach-O Man」macOSマルウェアキットで暗号通貨を狙う

永続化モジュールのminst2.binは、LaunchAgent plistファイル（com.onedrive.launcher.plist）をドロップし、ユーザーがログインするたびにマルウェアが「OneDrive」または「Antivirus Service」という正当なプロセスに成りすまして起動するようにします。

Macrasv2は、システムからデータを盗む最後のペイロードであり、SQLiteデータベース内のブラウザログイン情報とCookie、および機密性の高いKeychainエントリから情報を収集します。収集されたすべてのデータは圧縮され、表面に露出していたトークンを持つTelegramボットAPIを介して送信されます。

ラザラスグループの暗号通貨および米国テックへの壊滅的な遺産

このグループは、Ronin Network（Axie Infinity）からの6億2500万ドルの盗難、Bybitからの15億ドルの盗難、DMM Bitcoinからの3億800万ドルの盗難、KelpDAOからの2億9200万ドルの盗難、Driftからの2億8500万ドルの盗難、WazirXからの2億3500万ドルの盗難など、暗号通貨史上最大の盗難事件のいくつかに関与していると特定されています。

北朝鮮のラザルス・グループは、macOSデバイスを標的とした高度なマルウェア「Mach-O Man」を起動しました。これは暗号通貨企業、フィンテック組織、および金融取引にMacを使用する主要な執行役員を対象としています。

この攻撃は2026年4月中旬に初めて確認されました。Zoom、Microsoft Teams、Google Meetなどの一般的な職場アプリを使用して、ソーシャルエンジニアリング攻撃を仕掛けます。

北朝鮮のハッカーがMacユーザーを狙う

報告によると、この攻撃は、Zoom、Microsoft Teams、Google Meetなどの通常のコミュニケーションツールに対する従業員の信頼を利用しています。これにより、日常の協業がシステムレベルの攻撃の経路となっています。

これにより、被害者は攻撃が被害者自身から始まるため、GatekeeperなどのmacOSのセキュリティメカニズムを回避できます。

偽のアプリへのMach-O Manマルウェアのインストール。出典: AnyRun

このグループは、Ronin Network（Axie Infinity）からの6億2,500万ドルの盗難、Bybitからの15億ドルの盗難、DMM Bitcoinからの3億800万ドルの盗難、KelpDAOからの2億9,200万ドルの盗難、Driftからの2億8,500万ドルの盗難、WazirXからの2億3,500万ドルの盗難など、暗号通貨史上最大の盗難事件のいくつかに関与していると特定されています。

リンクをクリックすると、Zoom、Teams、またはMeetへの接続を試みる際にエラーメッセージをシミュレートする一見正当なウェブページに誘導されます。その後、ウェブサイトは被害者に、問題を「解決」するためにMacのターミナルに一見無害なコード行をコピー＆ペーストするよう求めます。

実行されると、teamsSDK.binという名前のバイナリがインストールされます。 

Chrome、Firefox、Safari、Brave、Opera、Vivaldiブラウザ用の拡張機能があります。情報は、ポート8888および9999での単純なcurl POSTリクエストを介してコマンド・アンド・コントロールサーバーに送信されます。

偽のインストールプロセスが完了すると、スティーラーはシステムの指紋取得、永続化設定、およびペイロードのインストールを開始します。

他の複雑なエクスプロイトを伴う手法とは異なり、これは伴いません。これにより、複数の同時通話を処理しながら、確認せずにコマンドをコピーする価値ある標的に対して非常に効果的です。

「Mach-O Man」の登場は、ラザラスグループが金銭的利益のためにサイバー攻撃を実行するという長期的な取り組みに沿ったものです。これらは、特に米国に拠点を置く企業にとって、暗号通貨世界に大きな損失をもたらしました。

「Mach-O Man」マルウェアは複数のステージを使用し、それぞれがGoでコンパイルされたMach-Oバイナリを含みます。マルウェアには、ホスト名、UUID、CPU情報、ネットワーク構成、および実行中のプロセスを含むシステム情報を収集するプロファイラーモジュールが含まれています。

北朝鮮のラザラスグループが、高価値な経営陣を対象とした「Mach-O Man」macOSマルウェアキットで暗号通貨を狙う

永続化モジュールのminst2.binは、LaunchAgent plistファイル（com.onedrive.launcher.plist）をドロップし、ユーザーがログインするたびにマルウェアが「OneDrive」または「Antivirus Service」という正当なプロセスに成りすまして起動するようにします。

Macrasv2は、システムからデータを盗む最後のペイロードであり、SQLiteデータベース内のブラウザログイン情報とCookie、および機密性の高いKeychainエントリから情報を収集します。収集されたすべてのデータは圧縮され、表面に露出していたトークンを持つTelegramボットAPIを介して送信されます。

ラザラスグループの暗号通貨および米国テックへの壊滅的な遺産

このグループは、Ronin Network（Axie Infinity）からの6億2500万ドルの盗難、Bybitからの15億ドルの盗難、DMM Bitcoinからの3億800万ドルの盗難、KelpDAOからの2億9200万ドルの盗難、Driftからの2億8500万ドルの盗難、WazirXからの2億3500万ドルの盗難など、暗号通貨史上最大の盗難事件のいくつかに関与していると特定されています。

北朝鮮のラザルス・グループは、macOSデバイスを標的とした高度なマルウェア「Mach-O Man」を起動しました。これは暗号通貨企業、フィンテック組織、および金融取引にMacを使用する主要な執行役員を対象としています。

この攻撃は2026年4月中旬に初めて確認されました。Zoom、Microsoft Teams、Google Meetなどの一般的な職場アプリを使用して、ソーシャルエンジニアリング攻撃を仕掛けます。

北朝鮮のハッカーがMacユーザーを狙う

報告によると、この攻撃は、Zoom、Microsoft Teams、Google Meetなどの通常のコミュニケーションツールに対する従業員の信頼を利用しています。これにより、日常の協業がシステムレベルの攻撃の経路となっています。

これにより、被害者は攻撃が被害者自身から始まるため、GatekeeperなどのmacOSのセキュリティメカニズムを回避できます。

偽のアプリへのMach-O Manマルウェアのインストール。出典: AnyRun

このグループは、Ronin Network（Axie Infinity）からの6億2,500万ドルの盗難、Bybitからの15億ドルの盗難、DMM Bitcoinからの3億800万ドルの盗難、KelpDAOからの2億9,200万ドルの盗難、Driftからの2億8,500万ドルの盗難、WazirXからの2億3,500万ドルの盗難など、暗号通貨史上最大の盗難事件のいくつかに関与していると特定されています。

リンクをクリックすると、Zoom、Teams、またはMeetへの接続を試みる際にエラーメッセージをシミュレートする一見正当なウェブページに誘導されます。その後、ウェブサイトは被害者に、問題を「解決」するためにMacのターミナルに一見無害なコード行をコピー＆ペーストするよう求めます。

実行されると、teamsSDK.binという名前のバイナリがインストールされます。 

Chrome、Firefox、Safari、Brave、Opera、Vivaldiブラウザ用の拡張機能があります。情報は、ポート8888および9999での単純なcurl POSTリクエストを介してコマンド・アンド・コントロールサーバーに送信されます。

偽のインストールプロセスが完了すると、スティーラーはシステムの指紋取得、永続化設定、およびペイロードのインストールを開始します。

他の複雑なエクスプロイトを伴う手法とは異なり、これは伴いません。これにより、複数の同時通話を処理しながら、確認せずにコマンドをコピーする価値ある標的に対して非常に効果的です。

「Mach-O Man」の登場は、ラザラスグループが金銭的利益のためにサイバー攻撃を実行するという長期的な取り組みに沿ったものです。これらは、特に米国に拠点を置く企業にとって、暗号通貨世界に大きな損失をもたらしました。

「Mach-O Man」マルウェアは複数のステージを使用し、それぞれがGoでコンパイルされたMach-Oバイナリを含みます。マルウェアには、ホスト名、UUID、CPU情報、ネットワーク構成、および実行中のプロセスを含むシステム情報を収集するプロファイラーモジュールが含まれています。

北朝鮮のラザラスグループが、高価値な経営陣を対象とした「Mach-O Man」macOSマルウェアキットで暗号通貨を狙う

永続化モジュールのminst2.binは、LaunchAgent plistファイル（com.onedrive.launcher.plist）をドロップし、ユーザーがログインするたびにマルウェアが「OneDrive」または「Antivirus Service」という正当なプロセスに成りすまして起動するようにします。

Macrasv2は、システムからデータを盗む最後のペイロードであり、SQLiteデータベース内のブラウザログイン情報とCookie、および機密性の高いKeychainエントリから情報を収集します。収集されたすべてのデータは圧縮され、表面に露出していたトークンを持つTelegramボットAPIを介して送信されます。

ラザラスグループの暗号通貨および米国テックへの壊滅的な遺産

このグループは、Ronin Network（Axie Infinity）からの6億2500万ドルの盗難、Bybitからの15億ドルの盗難、DMM Bitcoinからの3億800万ドルの盗難、KelpDAOからの2億9200万ドルの盗難、Driftからの2億8500万ドルの盗難、WazirXからの2億3500万ドルの盗難など、暗号通貨史上最大の盗難事件のいくつかに関与していると特定されています。