북한의 라자루스 그룹이 암호화폐와 고액 임원들을 대상으로 'Mach-O Man' macOS 멀웨어 키트를 사용

지속적 모듈 minst2.bin은 LaunchAgent plist 파일(com.onedrive.launcher.plist)을 생성하여, '원드라이브' 또는 '안티바이러스 서비스'라는 정당한 프로세스로 위장하여 사용자가 로그인할 때마다 멀웨어가 실행되도록 보장합니다.

Macrasv2는 시스템에서 데이터를 훔치는 마지막 페이로드로, SQLite 데이터베이스에 있는 브라우저 로그인 정보와 쿠키, 그리고 민감한 키체인 항목의 정보를 수집합니다. 수집된 모든 데이터는 표면에 노출된 토큰을 가진 텔레그램 봇 API를 통해 압축되어 전송됩니다.

라자루스 그룹의 암호화폐 및 미국 기술 분야에 대한 파괴적인 유산

'Mach-O Man'의 출시는 라자루스 그룹이 금전적 이득을 위해 사이버 공격을 수행하려는 장기적인 노력과 일치합니다. 이로 인해 특히 미국 기반 암호화폐 세계에 막대한 손실이 발생했습니다.

이 그룹은 로닌 네트워크(Axie Infinity)의 6억 2,500만 달러 도난, 바이빗(Bybit)의 15억 달러 도난, DMM 비트코인의 3억 800만 달러 도난, KelpDAO의 2억 9,200만 달러 도난, 드리프트(Drift)의 2억 8,500만 달러 도난, 그리고 와지르엑스(WazirX)의 2억 3,500만 달러 도난 등 암호화폐 역사상 가장 큰 절도 사건들에 연루된 것으로 확인되었습니다.

'Mach-O Man' 멀웨어는 여러 단계를 사용하며, 각 단계는 Go로 컴파일된 Mach-O 바이너리를 포함합니다. 이 멀웨어에는 호스트명, UUID, CPU 정보, 네트워크 구성 및 실행 중인 프로세스를 포함한 시스템 정보를 수집하는 프로파일러 모듈이 포함되어 있습니다.

이것은 Chrome, Firefox, Safari, Brave, Opera 및 Vivaldi 브라우저용 확장 프로그램을 가지고 있습니다. 정보는 포트 8888 및 9999에서 간단한 curl POST 요청을 통해 명령 및 제어 서버로 전송됩니다.

지속적 모듈 minst2.bin은 LaunchAgent plist 파일(com.onedrive.launcher.plist)을 생성하여, '원드라이브' 또는 '안티바이러스 서비스'라는 정당한 프로세스로 위장하여 사용자가 로그인할 때마다 멀웨어가 실행되도록 보장합니다.

Macrasv2는 시스템에서 데이터를 훔치는 마지막 페이로드로, SQLite 데이터베이스에 있는 브라우저 로그인 정보와 쿠키, 그리고 민감한 키체인 항목의 정보를 수집합니다. 수집된 모든 데이터는 표면에 노출된 토큰을 가진 텔레그램 봇 API를 통해 압축되어 전송됩니다.

라자루스 그룹의 암호화폐 및 미국 기술 분야에 대한 파괴적인 유산

'Mach-O Man'의 출시는 라자루스 그룹이 금전적 이득을 위해 사이버 공격을 수행하려는 장기적인 노력과 일치합니다. 이로 인해 특히 미국 기반 암호화폐 세계에 막대한 손실이 발생했습니다.

이 그룹은 로닌 네트워크(Axie Infinity)의 6억 2,500만 달러 도난, 바이빗(Bybit)의 15억 달러 도난, DMM 비트코인의 3억 800만 달러 도난, KelpDAO의 2억 9,200만 달러 도난, 드리프트(Drift)의 2억 8,500만 달러 도난, 그리고 와지르엑스(WazirX)의 2억 3,500만 달러 도난 등 암호화폐 역사상 가장 큰 절도 사건들에 연루된 것으로 확인되었습니다.

'Mach-O Man' 멀웨어는 여러 단계를 사용하며, 각 단계는 Go로 컴파일된 Mach-O 바이너리를 포함합니다. 이 멀웨어에는 호스트명, UUID, CPU 정보, 네트워크 구성 및 실행 중인 프로세스를 포함한 시스템 정보를 수집하는 프로파일러 모듈이 포함되어 있습니다.

이것은 Chrome, Firefox, Safari, Brave, Opera 및 Vivaldi 브라우저용 확장 프로그램을 가지고 있습니다. 정보는 포트 8888 및 9999에서 간단한 curl POST 요청을 통해 명령 및 제어 서버로 전송됩니다.

지속적 모듈 minst2.bin은 LaunchAgent plist 파일(com.onedrive.launcher.plist)을 생성하여, '원드라이브' 또는 '안티바이러스 서비스'라는 정당한 프로세스로 위장하여 사용자가 로그인할 때마다 멀웨어가 실행되도록 보장합니다.

Macrasv2는 시스템에서 데이터를 훔치는 마지막 페이로드로, SQLite 데이터베이스에 있는 브라우저 로그인 정보와 쿠키, 그리고 민감한 키체인 항목의 정보를 수집합니다. 수집된 모든 데이터는 표면에 노출된 토큰을 가진 텔레그램 봇 API를 통해 압축되어 전송됩니다.

라자루스 그룹의 암호화폐 및 미국 기술 분야에 대한 파괴적인 유산

'Mach-O Man'의 출시는 라자루스 그룹이 금전적 이득을 위해 사이버 공격을 수행하려는 장기적인 노력과 일치합니다. 이로 인해 특히 미국 기반 암호화폐 세계에 막대한 손실이 발생했습니다.

이 그룹은 로닌 네트워크(Axie Infinity)의 6억 2,500만 달러 도난, 바이빗(Bybit)의 15억 달러 도난, DMM 비트코인의 3억 800만 달러 도난, KelpDAO의 2억 9,200만 달러 도난, 드리프트(Drift)의 2억 8,500만 달러 도난, 그리고 와지르엑스(WazirX)의 2억 3,500만 달러 도난 등 암호화폐 역사상 가장 큰 절도 사건들에 연루된 것으로 확인되었습니다.

가짜 설치 프로세스가 완료되면 스틸러는 시스템 지문 채취, 지속성 구성 및 페이로드 설치를 시작합니다.

복잡한 익스플로잇을 포함하는 다른 기술과 달리, 이 기술은 그렇지 않습니다. 이는 명령을 검증하지 않고 복사하면서 여러 통화를 동시에 관리할 수 있는 가치 있는 표적에게 매우 효과적입니다.

Mach-O Man 멀웨어 내부

'Mach-O Man' 멀웨어는 여러 단계를 사용하며, 각 단계는 Go로 컴파일된 Mach-O 바이너리를 포함합니다. 이 멀웨어에는 호스트명, UUID, CPU 정보, 네트워크 구성 및 실행 중인 프로세스를 포함한 시스템 정보를 수집하는 프로파일러 모듈이 포함되어 있습니다.

이것은 Chrome, Firefox, Safari, Brave, Opera 및 Vivaldi 브라우저용 확장 프로그램을 가지고 있습니다. 정보는 포트 8888 및 9999에서 간단한 curl POST 요청을 통해 명령 및 제어 서버로 전송됩니다.

지속적 모듈 minst2.bin은 LaunchAgent plist 파일(com.onedrive.launcher.plist)을 생성하여, '원드라이브' 또는 '안티바이러스 서비스'라는 정당한 프로세스로 위장하여 사용자가 로그인할 때마다 멀웨어가 실행되도록 보장합니다.

Macrasv2는 시스템에서 데이터를 훔치는 마지막 페이로드로, SQLite 데이터베이스에 있는 브라우저 로그인 정보와 쿠키, 그리고 민감한 키체인 항목의 정보를 수집합니다. 수집된 모든 데이터는 표면에 노출된 토큰을 가진 텔레그램 봇 API를 통해 압축되어 전송됩니다.

라자루스 그룹의 암호화폐 및 미국 기술 분야에 대한 파괴적인 유산

'Mach-O Man'의 출시는 라자루스 그룹이 금전적 이득을 위해 사이버 공격을 수행하려는 장기적인 노력과 일치합니다. 이로 인해 특히 미국 기반 암호화폐 세계에 막대한 손실이 발생했습니다.

이 그룹은 로닌 네트워크(Axie Infinity)의 6억 2,500만 달러 도난, 바이빗(Bybit)의 15억 달러 도난, DMM 비트코인의 3억 800만 달러 도난, KelpDAO의 2억 9,200만 달러 도난, 드리프트(Drift)의 2억 8,500만 달러 도난, 그리고 와지르엑스(WazirX)의 2억 3,500만 달러 도난 등 암호화폐 역사상 가장 큰 절도 사건들에 연루된 것으로 확인되었습니다.

가짜 설치 프로세스가 완료되면 스틸러는 시스템 지문 채취, 지속성 구성 및 페이로드 설치를 시작합니다.

복잡한 익스플로잇을 포함하는 다른 기술과 달리, 이 기술은 그렇지 않습니다. 이는 명령을 검증하지 않고 복사하면서 여러 통화를 동시에 관리할 수 있는 가치 있는 표적에게 매우 효과적입니다.

Mach-O Man 멀웨어 내부

'Mach-O Man' 멀웨어는 여러 단계를 사용하며, 각 단계는 Go로 컴파일된 Mach-O 바이너리를 포함합니다. 이 멀웨어에는 호스트명, UUID, CPU 정보, 네트워크 구성 및 실행 중인 프로세스를 포함한 시스템 정보를 수집하는 프로파일러 모듈이 포함되어 있습니다.

이것은 Chrome, Firefox, Safari, Brave, Opera 및 Vivaldi 브라우저용 확장 프로그램을 가지고 있습니다. 정보는 포트 8888 및 9999에서 간단한 curl POST 요청을 통해 명령 및 제어 서버로 전송됩니다.

지속적 모듈 minst2.bin은 LaunchAgent plist 파일(com.onedrive.launcher.plist)을 생성하여, '원드라이브' 또는 '안티바이러스 서비스'라는 정당한 프로세스로 위장하여 사용자가 로그인할 때마다 멀웨어가 실행되도록 보장합니다.

Macrasv2는 시스템에서 데이터를 훔치는 마지막 페이로드로, SQLite 데이터베이스에 있는 브라우저 로그인 정보와 쿠키, 그리고 민감한 키체인 항목의 정보를 수집합니다. 수집된 모든 데이터는 표면에 노출된 토큰을 가진 텔레그램 봇 API를 통해 압축되어 전송됩니다.

라자루스 그룹의 암호화폐 및 미국 기술 분야에 대한 파괴적인 유산

'Mach-O Man'의 출시는 라자루스 그룹이 금전적 이득을 위해 사이버 공격을 수행하려는 장기적인 노력과 일치합니다. 이로 인해 특히 미국 기반 암호화폐 세계에 막대한 손실이 발생했습니다.

이 그룹은 로닌 네트워크(Axie Infinity)의 6억 2,500만 달러 도난, 바이빗(Bybit)의 15억 달러 도난, DMM 비트코인의 3억 800만 달러 도난, KelpDAO의 2억 9,200만 달러 도난, 드리프트(Drift)의 2억 8,500만 달러 도난, 그리고 와지르엑스(WazirX)의 2억 3,500만 달러 도난 등 암호화폐 역사상 가장 큰 절도 사건들에 연루된 것으로 확인되었습니다.

가짜 설치 프로세스가 완료되면 스틸러는 시스템 지문 채취, 지속성 구성 및 페이로드 설치를 시작합니다.

복잡한 익스플로잇을 포함하는 다른 기술과 달리, 이 기술은 그렇지 않습니다. 이는 명령을 검증하지 않고 복사하면서 여러 통화를 동시에 관리할 수 있는 가치 있는 표적에게 매우 효과적입니다.

Mach-O Man 멀웨어 내부

'Mach-O Man' 멀웨어는 여러 단계를 사용하며, 각 단계는 Go로 컴파일된 Mach-O 바이너리를 포함합니다. 이 멀웨어에는 호스트명, UUID, CPU 정보, 네트워크 구성 및 실행 중인 프로세스를 포함한 시스템 정보를 수집하는 프로파일러 모듈이 포함되어 있습니다.

이것은 Chrome, Firefox, Safari, Brave, Opera 및 Vivaldi 브라우저용 확장 프로그램을 가지고 있습니다. 정보는 포트 8888 및 9999에서 간단한 curl POST 요청을 통해 명령 및 제어 서버로 전송됩니다.

지속적 모듈 minst2.bin은 LaunchAgent plist 파일(com.onedrive.launcher.plist)을 생성하여, '원드라이브' 또는 '안티바이러스 서비스'라는 정당한 프로세스로 위장하여 사용자가 로그인할 때마다 멀웨어가 실행되도록 보장합니다.

Macrasv2는 시스템에서 데이터를 훔치는 마지막 페이로드로, SQLite 데이터베이스에 있는 브라우저 로그인 정보와 쿠키, 그리고 민감한 키체인 항목의 정보를 수집합니다. 수집된 모든 데이터는 표면에 노출된 토큰을 가진 텔레그램 봇 API를 통해 압축되어 전송됩니다.

라자루스 그룹의 암호화폐 및 미국 기술 분야에 대한 파괴적인 유산

'Mach-O Man'의 출시는 라자루스 그룹이 금전적 이득을 위해 사이버 공격을 수행하려는 장기적인 노력과 일치합니다. 이로 인해 특히 미국 기반 암호화폐 세계에 막대한 손실이 발생했습니다.

이 그룹은 로닌 네트워크(Axie Infinity)의 6억 2,500만 달러 도난, 바이빗(Bybit)의 15억 달러 도난, DMM 비트코인의 3억 800만 달러 도난, KelpDAO의 2억 9,200만 달러 도난, 드리프트(Drift)의 2억 8,500만 달러 도난, 그리고 와지르엑스(WazirX)의 2억 3,500만 달러 도난 등 암호화폐 역사상 가장 큰 절도 사건들에 연루된 것으로 확인되었습니다.

링크를 클릭하면 Zoom, Teams 또는 Meet에 연결하려고 할 때 오류 메시지를 시뮬레이션하는 것처럼 보이는 정당한 웹페이지로 이동합니다. 그런 다음 웹사이트는 피해자에게 문제를 '해결'하기 위해 Mac의 터미널에 해롭지 않아 보이는 코드 줄을 복사하여 붙여넣으라고 요청합니다.

이 그룹은 로닌 네트워크(Axie Infinity)에서 6억 2,500만 달러, 바이비트에서 15억 달러, DMM 비트코인에서 3억 8천만 달러, KelpDAO에서 2억 9,200만 달러, 드리프트에서 2억 8,500만 달러, 와지르크스에서 2억 3,500만 달러를 훔치는 등 암호화폐 역사상 가장 큰 절도 사건들에 연루된 것으로 확인되었습니다.

실행되면 teamsSDK.bin이라는 바이너리가 설치됩니다.

스테이저는 가짜 macOS 앱 번들을 다운로드하고 네이티브 codesign 도구를 사용하여 ad hoc 서명으로 디지털 서명합니다. 그런 다음 피해자에게 비밀번호를 반복적으로 요청하며, 정당한 것처럼 보이는 번역이 잘 되지 않은 메시지를 표시합니다. 

가짜 설치 프로세스가 완료되면 스틸러는 시스템 지문 채취, 지속성 구성 및 페이로드 설치를 시작합니다.

복잡한 익스플로잇을 포함하는 다른 기술과 달리, 이 기술은 그렇지 않습니다. 이는 명령을 검증하지 않고 복사하면서 여러 통화를 동시에 관리할 수 있는 가치 있는 표적에게 매우 효과적입니다.

Mach-O Man 멀웨어 내부

'Mach-O Man' 멀웨어는 여러 단계를 사용하며, 각 단계는 Go로 컴파일된 Mach-O 바이너리를 포함합니다. 이 멀웨어에는 호스트명, UUID, CPU 정보, 네트워크 구성 및 실행 중인 프로세스를 포함한 시스템 정보를 수집하는 프로파일러 모듈이 포함되어 있습니다.

이것은 Chrome, Firefox, Safari, Brave, Opera 및 Vivaldi 브라우저용 확장 프로그램을 가지고 있습니다. 정보는 포트 8888 및 9999에서 간단한 curl POST 요청을 통해 명령 및 제어 서버로 전송됩니다.

지속적 모듈 minst2.bin은 LaunchAgent plist 파일(com.onedrive.launcher.plist)을 생성하여, '원드라이브' 또는 '안티바이러스 서비스'라는 정당한 프로세스로 위장하여 사용자가 로그인할 때마다 멀웨어가 실행되도록 보장합니다.

Macrasv2는 시스템에서 데이터를 훔치는 마지막 페이로드로, SQLite 데이터베이스에 있는 브라우저 로그인 정보와 쿠키, 그리고 민감한 키체인 항목의 정보를 수집합니다. 수집된 모든 데이터는 표면에 노출된 토큰을 가진 텔레그램 봇 API를 통해 압축되어 전송됩니다.

라자루스 그룹의 암호화폐 및 미국 기술 분야에 대한 파괴적인 유산

'Mach-O Man'의 출시는 라자루스 그룹이 금전적 이득을 위해 사이버 공격을 수행하려는 장기적인 노력과 일치합니다. 이로 인해 특히 미국 기반 암호화폐 세계에 막대한 손실이 발생했습니다.

이 그룹은 로닌 네트워크(Axie Infinity)의 6억 2,500만 달러 도난, 바이빗(Bybit)의 15억 달러 도난, DMM 비트코인의 3억 800만 달러 도난, KelpDAO의 2억 9,200만 달러 도난, 드리프트(Drift)의 2억 8,500만 달러 도난, 그리고 와지르엑스(WazirX)의 2억 3,500만 달러 도난 등 암호화폐 역사상 가장 큰 절도 사건들에 연루된 것으로 확인되었습니다.

링크를 클릭하면 Zoom, Teams 또는 Meet에 연결하려고 할 때 오류 메시지를 시뮬레이션하는 것처럼 보이는 정당한 웹페이지로 이동합니다. 그런 다음 웹사이트는 피해자에게 문제를 '해결'하기 위해 Mac의 터미널에 해롭지 않아 보이는 코드 줄을 복사하여 붙여넣으라고 요청합니다.

이 그룹은 로닌 네트워크(Axie Infinity)에서 6억 2,500만 달러, 바이비트에서 15억 달러, DMM 비트코인에서 3억 8천만 달러, KelpDAO에서 2억 9,200만 달러, 드리프트에서 2억 8,500만 달러, 와지르크스에서 2억 3,500만 달러를 훔치는 등 암호화폐 역사상 가장 큰 절도 사건들에 연루된 것으로 확인되었습니다.

실행되면 teamsSDK.bin이라는 바이너리가 설치됩니다.

스테이저는 가짜 macOS 앱 번들을 다운로드하고 네이티브 codesign 도구를 사용하여 ad hoc 서명으로 디지털 서명합니다. 그런 다음 피해자에게 비밀번호를 반복적으로 요청하며, 정당한 것처럼 보이는 번역이 잘 되지 않은 메시지를 표시합니다. 

가짜 설치 프로세스가 완료되면 스틸러는 시스템 지문 채취, 지속성 구성 및 페이로드 설치를 시작합니다.

복잡한 익스플로잇을 포함하는 다른 기술과 달리, 이 기술은 그렇지 않습니다. 이는 명령을 검증하지 않고 복사하면서 여러 통화를 동시에 관리할 수 있는 가치 있는 표적에게 매우 효과적입니다.

Mach-O Man 멀웨어 내부

'Mach-O Man' 멀웨어는 여러 단계를 사용하며, 각 단계는 Go로 컴파일된 Mach-O 바이너리를 포함합니다. 이 멀웨어에는 호스트명, UUID, CPU 정보, 네트워크 구성 및 실행 중인 프로세스를 포함한 시스템 정보를 수집하는 프로파일러 모듈이 포함되어 있습니다.

이것은 Chrome, Firefox, Safari, Brave, Opera 및 Vivaldi 브라우저용 확장 프로그램을 가지고 있습니다. 정보는 포트 8888 및 9999에서 간단한 curl POST 요청을 통해 명령 및 제어 서버로 전송됩니다.

지속적 모듈 minst2.bin은 LaunchAgent plist 파일(com.onedrive.launcher.plist)을 생성하여, '원드라이브' 또는 '안티바이러스 서비스'라는 정당한 프로세스로 위장하여 사용자가 로그인할 때마다 멀웨어가 실행되도록 보장합니다.

Macrasv2는 시스템에서 데이터를 훔치는 마지막 페이로드로, SQLite 데이터베이스에 있는 브라우저 로그인 정보와 쿠키, 그리고 민감한 키체인 항목의 정보를 수집합니다. 수집된 모든 데이터는 표면에 노출된 토큰을 가진 텔레그램 봇 API를 통해 압축되어 전송됩니다.

라자루스 그룹의 암호화폐 및 미국 기술 분야에 대한 파괴적인 유산

'Mach-O Man'의 출시는 라자루스 그룹이 금전적 이득을 위해 사이버 공격을 수행하려는 장기적인 노력과 일치합니다. 이로 인해 특히 미국 기반 암호화폐 세계에 막대한 손실이 발생했습니다.

이 그룹은 로닌 네트워크(Axie Infinity)의 6억 2,500만 달러 도난, 바이빗(Bybit)의 15억 달러 도난, DMM 비트코인의 3억 800만 달러 도난, KelpDAO의 2억 9,200만 달러 도난, 드리프트(Drift)의 2억 8,500만 달러 도난, 그리고 와지르엑스(WazirX)의 2억 3,500만 달러 도난 등 암호화폐 역사상 가장 큰 절도 사건들에 연루된 것으로 확인되었습니다.

북한의 해커들이 맥 사용자를 노립니다

보고된 바와 같이, 이 공격은 Zoom, Microsoft Teams, Google Meet과 같은 일반적인 커뮤니케이션 도구에 대한 직원들의 신뢰를 이용합니다. 이로 인해 일상적인 협업이 시스템 수준 공격의 통로가 되었습니다.

이렇게 함으로써 피해자는 공격이 피해자 자신에게서 기인하기 때문에 게이트키퍼와 같은 macOS 보안 메커니즘을 우회할 수 있습니다.

링크를 클릭하면 Zoom, Teams 또는 Meet에 연결하려고 할 때 오류 메시지를 시뮬레이션하는 것처럼 보이는 정당한 웹페이지로 이동합니다. 그런 다음 웹사이트는 피해자에게 문제를 '해결'하기 위해 Mac의 터미널에 해롭지 않아 보이는 코드 줄을 복사하여 붙여넣으라고 요청합니다.

이 그룹은 로닌 네트워크(Axie Infinity)에서 6억 2,500만 달러, 바이비트에서 15억 달러, DMM 비트코인에서 3억 8천만 달러, KelpDAO에서 2억 9,200만 달러, 드리프트에서 2억 8,500만 달러, 와지르크스에서 2억 3,500만 달러를 훔치는 등 암호화폐 역사상 가장 큰 절도 사건들에 연루된 것으로 확인되었습니다.

실행되면 teamsSDK.bin이라는 바이너리가 설치됩니다.

스테이저는 가짜 macOS 앱 번들을 다운로드하고 네이티브 codesign 도구를 사용하여 ad hoc 서명으로 디지털 서명합니다. 그런 다음 피해자에게 비밀번호를 반복적으로 요청하며, 정당한 것처럼 보이는 번역이 잘 되지 않은 메시지를 표시합니다. 

가짜 설치 프로세스가 완료되면 스틸러는 시스템 지문 채취, 지속성 구성 및 페이로드 설치를 시작합니다.

복잡한 익스플로잇을 포함하는 다른 기술과 달리, 이 기술은 그렇지 않습니다. 이는 명령을 검증하지 않고 복사하면서 여러 통화를 동시에 관리할 수 있는 가치 있는 표적에게 매우 효과적입니다.

Mach-O Man 멀웨어 내부

'Mach-O Man' 멀웨어는 여러 단계를 사용하며, 각 단계는 Go로 컴파일된 Mach-O 바이너리를 포함합니다. 이 멀웨어에는 호스트명, UUID, CPU 정보, 네트워크 구성 및 실행 중인 프로세스를 포함한 시스템 정보를 수집하는 프로파일러 모듈이 포함되어 있습니다.

이것은 Chrome, Firefox, Safari, Brave, Opera 및 Vivaldi 브라우저용 확장 프로그램을 가지고 있습니다. 정보는 포트 8888 및 9999에서 간단한 curl POST 요청을 통해 명령 및 제어 서버로 전송됩니다.

지속적 모듈 minst2.bin은 LaunchAgent plist 파일(com.onedrive.launcher.plist)을 생성하여, '원드라이브' 또는 '안티바이러스 서비스'라는 정당한 프로세스로 위장하여 사용자가 로그인할 때마다 멀웨어가 실행되도록 보장합니다.

Macrasv2는 시스템에서 데이터를 훔치는 마지막 페이로드로, SQLite 데이터베이스에 있는 브라우저 로그인 정보와 쿠키, 그리고 민감한 키체인 항목의 정보를 수집합니다. 수집된 모든 데이터는 표면에 노출된 토큰을 가진 텔레그램 봇 API를 통해 압축되어 전송됩니다.

라자루스 그룹의 암호화폐 및 미국 기술 분야에 대한 파괴적인 유산

'Mach-O Man'의 출시는 라자루스 그룹이 금전적 이득을 위해 사이버 공격을 수행하려는 장기적인 노력과 일치합니다. 이로 인해 특히 미국 기반 암호화폐 세계에 막대한 손실이 발생했습니다.

이 그룹은 로닌 네트워크(Axie Infinity)의 6억 2,500만 달러 도난, 바이빗(Bybit)의 15억 달러 도난, DMM 비트코인의 3억 800만 달러 도난, KelpDAO의 2억 9,200만 달러 도난, 드리프트(Drift)의 2억 8,500만 달러 도난, 그리고 와지르엑스(WazirX)의 2억 3,500만 달러 도난 등 암호화폐 역사상 가장 큰 절도 사건들에 연루된 것으로 확인되었습니다.

북한의 해커들이 맥 사용자를 노립니다

보고된 바와 같이, 이 공격은 Zoom, Microsoft Teams, Google Meet과 같은 일반적인 커뮤니케이션 도구에 대한 직원들의 신뢰를 이용합니다. 이로 인해 일상적인 협업이 시스템 수준 공격의 통로가 되었습니다.

이렇게 함으로써 피해자는 공격이 피해자 자신에게서 기인하기 때문에 게이트키퍼와 같은 macOS 보안 메커니즘을 우회할 수 있습니다.

링크를 클릭하면 Zoom, Teams 또는 Meet에 연결하려고 할 때 오류 메시지를 시뮬레이션하는 것처럼 보이는 정당한 웹페이지로 이동합니다. 그런 다음 웹사이트는 피해자에게 문제를 '해결'하기 위해 Mac의 터미널에 해롭지 않아 보이는 코드 줄을 복사하여 붙여넣으라고 요청합니다.

이 그룹은 로닌 네트워크(Axie Infinity)에서 6억 2,500만 달러, 바이비트에서 15억 달러, DMM 비트코인에서 3억 8천만 달러, KelpDAO에서 2억 9,200만 달러, 드리프트에서 2억 8,500만 달러, 와지르크스에서 2억 3,500만 달러를 훔치는 등 암호화폐 역사상 가장 큰 절도 사건들에 연루된 것으로 확인되었습니다.

실행되면 teamsSDK.bin이라는 바이너리가 설치됩니다.

스테이저는 가짜 macOS 앱 번들을 다운로드하고 네이티브 codesign 도구를 사용하여 ad hoc 서명으로 디지털 서명합니다. 그런 다음 피해자에게 비밀번호를 반복적으로 요청하며, 정당한 것처럼 보이는 번역이 잘 되지 않은 메시지를 표시합니다. 

가짜 설치 프로세스가 완료되면 스틸러는 시스템 지문 채취, 지속성 구성 및 페이로드 설치를 시작합니다.

복잡한 익스플로잇을 포함하는 다른 기술과 달리, 이 기술은 그렇지 않습니다. 이는 명령을 검증하지 않고 복사하면서 여러 통화를 동시에 관리할 수 있는 가치 있는 표적에게 매우 효과적입니다.

Mach-O Man 멀웨어 내부

'Mach-O Man' 멀웨어는 여러 단계를 사용하며, 각 단계는 Go로 컴파일된 Mach-O 바이너리를 포함합니다. 이 멀웨어에는 호스트명, UUID, CPU 정보, 네트워크 구성 및 실행 중인 프로세스를 포함한 시스템 정보를 수집하는 프로파일러 모듈이 포함되어 있습니다.

이것은 Chrome, Firefox, Safari, Brave, Opera 및 Vivaldi 브라우저용 확장 프로그램을 가지고 있습니다. 정보는 포트 8888 및 9999에서 간단한 curl POST 요청을 통해 명령 및 제어 서버로 전송됩니다.

지속적 모듈 minst2.bin은 LaunchAgent plist 파일(com.onedrive.launcher.plist)을 생성하여, '원드라이브' 또는 '안티바이러스 서비스'라는 정당한 프로세스로 위장하여 사용자가 로그인할 때마다 멀웨어가 실행되도록 보장합니다.

Macrasv2는 시스템에서 데이터를 훔치는 마지막 페이로드로, SQLite 데이터베이스에 있는 브라우저 로그인 정보와 쿠키, 그리고 민감한 키체인 항목의 정보를 수집합니다. 수집된 모든 데이터는 표면에 노출된 토큰을 가진 텔레그램 봇 API를 통해 압축되어 전송됩니다.

라자루스 그룹의 암호화폐 및 미국 기술 분야에 대한 파괴적인 유산

'Mach-O Man'의 출시는 라자루스 그룹이 금전적 이득을 위해 사이버 공격을 수행하려는 장기적인 노력과 일치합니다. 이로 인해 특히 미국 기반 암호화폐 세계에 막대한 손실이 발생했습니다.

이 그룹은 로닌 네트워크(Axie Infinity)의 6억 2,500만 달러 도난, 바이빗(Bybit)의 15억 달러 도난, DMM 비트코인의 3억 800만 달러 도난, KelpDAO의 2억 9,200만 달러 도난, 드리프트(Drift)의 2억 8,500만 달러 도난, 그리고 와지르엑스(WazirX)의 2억 3,500만 달러 도난 등 암호화폐 역사상 가장 큰 절도 사건들에 연루된 것으로 확인되었습니다.

북한의 라자루스 그룹이 macOS 기기를 대상으로 한 고급 멀웨어를 출시했습니다. Mach-O Man으로 불리는 이 멀웨어는 암호화폐 회사, 핀테크 조직 및 금융 거래를 위해 맥을 사용하는 주요 임원들을 겨냥하도록 설계되었습니다.

이 공격은 2026년 4월 중순에 처음 확인되었습니다. Zoom, Microsoft Teams, Google Meet과 같은 인기 있는 직장용 앱을 사용하여 소셜 엔지니어링 공격을 실행합니다.

북한의 해커들이 맥 사용자를 노립니다

보고된 바와 같이, 이 공격은 Zoom, Microsoft Teams, Google Meet과 같은 일반적인 커뮤니케이션 도구에 대한 직원들의 신뢰를 이용합니다. 이로 인해 일상적인 협업이 시스템 수준 공격의 통로가 되었습니다.

이렇게 함으로써 피해자는 공격이 피해자 자신에게서 기인하기 때문에 게이트키퍼와 같은 macOS 보안 메커니즘을 우회할 수 있습니다.

링크를 클릭하면 Zoom, Teams 또는 Meet에 연결하려고 할 때 오류 메시지를 시뮬레이션하는 것처럼 보이는 정당한 웹페이지로 이동합니다. 그런 다음 웹사이트는 피해자에게 문제를 '해결'하기 위해 Mac의 터미널에 해롭지 않아 보이는 코드 줄을 복사하여 붙여넣으라고 요청합니다.

이 그룹은 로닌 네트워크(Axie Infinity)에서 6억 2,500만 달러, 바이비트에서 15억 달러, DMM 비트코인에서 3억 8천만 달러, KelpDAO에서 2억 9,200만 달러, 드리프트에서 2억 8,500만 달러, 와지르크스에서 2억 3,500만 달러를 훔치는 등 암호화폐 역사상 가장 큰 절도 사건들에 연루된 것으로 확인되었습니다.

실행되면 teamsSDK.bin이라는 바이너리가 설치됩니다.

스테이저는 가짜 macOS 앱 번들을 다운로드하고 네이티브 codesign 도구를 사용하여 ad hoc 서명으로 디지털 서명합니다. 그런 다음 피해자에게 비밀번호를 반복적으로 요청하며, 정당한 것처럼 보이는 번역이 잘 되지 않은 메시지를 표시합니다. 

가짜 설치 프로세스가 완료되면 스틸러는 시스템 지문 채취, 지속성 구성 및 페이로드 설치를 시작합니다.

복잡한 익스플로잇을 포함하는 다른 기술과 달리, 이 기술은 그렇지 않습니다. 이는 명령을 검증하지 않고 복사하면서 여러 통화를 동시에 관리할 수 있는 가치 있는 표적에게 매우 효과적입니다.

Mach-O Man 멀웨어 내부

'Mach-O Man' 멀웨어는 여러 단계를 사용하며, 각 단계는 Go로 컴파일된 Mach-O 바이너리를 포함합니다. 이 멀웨어에는 호스트명, UUID, CPU 정보, 네트워크 구성 및 실행 중인 프로세스를 포함한 시스템 정보를 수집하는 프로파일러 모듈이 포함되어 있습니다.

이것은 Chrome, Firefox, Safari, Brave, Opera 및 Vivaldi 브라우저용 확장 프로그램을 가지고 있습니다. 정보는 포트 8888 및 9999에서 간단한 curl POST 요청을 통해 명령 및 제어 서버로 전송됩니다.

지속적 모듈 minst2.bin은 LaunchAgent plist 파일(com.onedrive.launcher.plist)을 생성하여, '원드라이브' 또는 '안티바이러스 서비스'라는 정당한 프로세스로 위장하여 사용자가 로그인할 때마다 멀웨어가 실행되도록 보장합니다.

Macrasv2는 시스템에서 데이터를 훔치는 마지막 페이로드로, SQLite 데이터베이스에 있는 브라우저 로그인 정보와 쿠키, 그리고 민감한 키체인 항목의 정보를 수집합니다. 수집된 모든 데이터는 표면에 노출된 토큰을 가진 텔레그램 봇 API를 통해 압축되어 전송됩니다.

라자루스 그룹의 암호화폐 및 미국 기술 분야에 대한 파괴적인 유산

'Mach-O Man'의 출시는 라자루스 그룹이 금전적 이득을 위해 사이버 공격을 수행하려는 장기적인 노력과 일치합니다. 이로 인해 특히 미국 기반 암호화폐 세계에 막대한 손실이 발생했습니다.

이 그룹은 로닌 네트워크(Axie Infinity)의 6억 2,500만 달러 도난, 바이빗(Bybit)의 15억 달러 도난, DMM 비트코인의 3억 800만 달러 도난, KelpDAO의 2억 9,200만 달러 도난, 드리프트(Drift)의 2억 8,500만 달러 도난, 그리고 와지르엑스(WazirX)의 2억 3,500만 달러 도난 등 암호화폐 역사상 가장 큰 절도 사건들에 연루된 것으로 확인되었습니다.

북한의 라자루스 그룹이 macOS 기기를 대상으로 한 고급 멀웨어를 출시했습니다. Mach-O Man으로 불리는 이 멀웨어는 암호화폐 회사, 핀테크 조직 및 금융 거래를 위해 맥을 사용하는 주요 임원들을 겨냥하도록 설계되었습니다.

이 공격은 2026년 4월 중순에 처음 확인되었습니다. Zoom, Microsoft Teams, Google Meet과 같은 인기 있는 직장용 앱을 사용하여 소셜 엔지니어링 공격을 실행합니다.

북한의 해커들이 맥 사용자를 노립니다

보고된 바와 같이, 이 공격은 Zoom, Microsoft Teams, Google Meet과 같은 일반적인 커뮤니케이션 도구에 대한 직원들의 신뢰를 이용합니다. 이로 인해 일상적인 협업이 시스템 수준 공격의 통로가 되었습니다.

이렇게 함으로써 피해자는 공격이 피해자 자신에게서 기인하기 때문에 게이트키퍼와 같은 macOS 보안 메커니즘을 우회할 수 있습니다.

링크를 클릭하면 Zoom, Teams 또는 Meet에 연결하려고 할 때 오류 메시지를 시뮬레이션하는 것처럼 보이는 정당한 웹페이지로 이동합니다. 그런 다음 웹사이트는 피해자에게 문제를 '해결'하기 위해 Mac의 터미널에 해롭지 않아 보이는 코드 줄을 복사하여 붙여넣으라고 요청합니다.

이 그룹은 로닌 네트워크(Axie Infinity)에서 6억 2,500만 달러, 바이비트에서 15억 달러, DMM 비트코인에서 3억 8천만 달러, KelpDAO에서 2억 9,200만 달러, 드리프트에서 2억 8,500만 달러, 와지르크스에서 2억 3,500만 달러를 훔치는 등 암호화폐 역사상 가장 큰 절도 사건들에 연루된 것으로 확인되었습니다.

실행되면 teamsSDK.bin이라는 바이너리가 설치됩니다.

스테이저는 가짜 macOS 앱 번들을 다운로드하고 네이티브 codesign 도구를 사용하여 ad hoc 서명으로 디지털 서명합니다. 그런 다음 피해자에게 비밀번호를 반복적으로 요청하며, 정당한 것처럼 보이는 번역이 잘 되지 않은 메시지를 표시합니다. 

가짜 설치 프로세스가 완료되면 스틸러는 시스템 지문 채취, 지속성 구성 및 페이로드 설치를 시작합니다.

복잡한 익스플로잇을 포함하는 다른 기술과 달리, 이 기술은 그렇지 않습니다. 이는 명령을 검증하지 않고 복사하면서 여러 통화를 동시에 관리할 수 있는 가치 있는 표적에게 매우 효과적입니다.

Mach-O Man 멀웨어 내부

'Mach-O Man' 멀웨어는 여러 단계를 사용하며, 각 단계는 Go로 컴파일된 Mach-O 바이너리를 포함합니다. 이 멀웨어에는 호스트명, UUID, CPU 정보, 네트워크 구성 및 실행 중인 프로세스를 포함한 시스템 정보를 수집하는 프로파일러 모듈이 포함되어 있습니다.

이것은 Chrome, Firefox, Safari, Brave, Opera 및 Vivaldi 브라우저용 확장 프로그램을 가지고 있습니다. 정보는 포트 8888 및 9999에서 간단한 curl POST 요청을 통해 명령 및 제어 서버로 전송됩니다.

지속적 모듈 minst2.bin은 LaunchAgent plist 파일(com.onedrive.launcher.plist)을 생성하여, '원드라이브' 또는 '안티바이러스 서비스'라는 정당한 프로세스로 위장하여 사용자가 로그인할 때마다 멀웨어가 실행되도록 보장합니다.

Macrasv2는 시스템에서 데이터를 훔치는 마지막 페이로드로, SQLite 데이터베이스에 있는 브라우저 로그인 정보와 쿠키, 그리고 민감한 키체인 항목의 정보를 수집합니다. 수집된 모든 데이터는 표면에 노출된 토큰을 가진 텔레그램 봇 API를 통해 압축되어 전송됩니다.

라자루스 그룹의 암호화폐 및 미국 기술 분야에 대한 파괴적인 유산

'Mach-O Man'의 출시는 라자루스 그룹이 금전적 이득을 위해 사이버 공격을 수행하려는 장기적인 노력과 일치합니다. 이로 인해 특히 미국 기반 암호화폐 세계에 막대한 손실이 발생했습니다.

이 그룹은 로닌 네트워크(Axie Infinity)의 6억 2,500만 달러 도난, 바이빗(Bybit)의 15억 달러 도난, DMM 비트코인의 3억 800만 달러 도난, KelpDAO의 2억 9,200만 달러 도난, 드리프트(Drift)의 2억 8,500만 달러 도난, 그리고 와지르엑스(WazirX)의 2억 3,500만 달러 도난 등 암호화폐 역사상 가장 큰 절도 사건들에 연루된 것으로 확인되었습니다.