O Grupo Lazarus da Coreia do Norte ataca cripto e executivos de alto valor com kit de malware 'Mach-O Man' para macOS
- O Grupo Lazarus da Coreia do Norte lançou o 'Mach-O Man', um sofisticado kit de malware que visa usuários de macOS no setor de criptomoedas e fintech.
- O malware rouba credenciais do navegador, cookies, dados do keychain e informações do sistema.
- Esta tecnologia amplia o alcance do Grupo Lazarus para executivos de alto valor e desenvolvedores que gerenciam carteiras e chaves críticas em dispositivos Apple.
O módulo persistente minst2.bin cria um arquivo plist do LaunchAgent (com.onedrive.launcher.plist), o que garante que o malware seja iniciado sempre que o usuário fizer login, passando-se por um processo legítimo chamado
Macrasv2, a última carga útil responsável por roubar dados do sistema, coleta informações dos detalhes de login do navegador e cookies encontrados em bancos de dados SQLite, bem como entradas sensíveis do Keychain. Todos os dados coletados são então compactados e enviados via API do bot do Telegram, cujo token foi exposto na superfície.
O legado devastador do Grupo Lazarus no cripto e na tecnologia dos EUA
O lançamento do
Este grupo foi identificado como envolvido em alguns dos maiores roubos da história das criptomoedas, como o roubo de US$ 625 milhões da Ronin Network (Axie Infinity), o roubo de US$ 1,5 bilhão da Bybit, o roubo de US$ 308 milhões da DMM Bitcoin, o roubo de US$ 292 milhões da KelpDAO, o roubo de US$ 285 milhões da Drift e US$ 235 milhões da WazirX.
O malware
Possui extensões para os navegadores Chrome, Firefox, Safari, Brave, Opera e Vivaldi. As informações são transmitidas para o servidor de comando e controle por meio de simples solicitações POST curl nas portas 8888 e 9999.
O módulo persistente minst2.bin cria um arquivo plist do LaunchAgent (com.onedrive.launcher.plist), o que garante que o malware seja iniciado sempre que o usuário fizer login, passando-se por um processo legítimo chamado
Macrasv2, a última carga útil responsável por roubar dados do sistema, coleta informações dos detalhes de login do navegador e cookies encontrados em bancos de dados SQLite, bem como entradas sensíveis do Keychain. Todos os dados coletados são então compactados e enviados via API do bot do Telegram, cujo token foi exposto na superfície.
O legado devastador do Grupo Lazarus no cripto e na tecnologia dos EUA
O lançamento do
Este grupo foi identificado como envolvido em alguns dos maiores roubos da história das criptomoedas, como o roubo de US$ 625 milhões da Ronin Network (Axie Infinity), o roubo de US$ 1,5 bilhão da Bybit, o roubo de US$ 308 milhões da DMM Bitcoin, o roubo de US$ 292 milhões da KelpDAO, o roubo de US$ 285 milhões da Drift e US$ 235 milhões da WazirX.
O malware
Possui extensões para os navegadores Chrome, Firefox, Safari, Brave, Opera e Vivaldi. As informações são transmitidas para o servidor de comando e controle por meio de simples solicitações POST curl nas portas 8888 e 9999.
O módulo persistente minst2.bin cria um arquivo plist do LaunchAgent (com.onedrive.launcher.plist), o que garante que o malware seja iniciado sempre que o usuário fizer login, passando-se por um processo legítimo chamado
Macrasv2, a última carga útil responsável por roubar dados do sistema, coleta informações dos detalhes de login do navegador e cookies encontrados em bancos de dados SQLite, bem como entradas sensíveis do Keychain. Todos os dados coletados são então compactados e enviados via API do bot do Telegram, cujo token foi exposto na superfície.
O legado devastador do Grupo Lazarus no cripto e na tecnologia dos EUA
O lançamento do
Este grupo foi identificado como envolvido em alguns dos maiores roubos da história das criptomoedas, como o roubo de US$ 625 milhões da Ronin Network (Axie Infinity), o roubo de US$ 1,5 bilhão da Bybit, o roubo de US$ 308 milhões da DMM Bitcoin, o roubo de US$ 292 milhões da KelpDAO, o roubo de US$ 285 milhões da Drift e US$ 235 milhões da WazirX.
Após concluir o processo de instalação falsa, o coletor de dados começa a digitalização do sistema, configuração de persistência e instalação da carga útil.
Em contraste com outras técnicas que envolvem exploits complexos, esta não envolve. Isso a torna muito eficaz em alvos valiosos que podem estar gerenciando várias chamadas simultâneas enquanto copiam comandos sem verificá-los.
Dentro do malware Mach-O Man
O malware
Possui extensões para os navegadores Chrome, Firefox, Safari, Brave, Opera e Vivaldi. As informações são transmitidas para o servidor de comando e controle por meio de simples solicitações POST curl nas portas 8888 e 9999.
O módulo persistente minst2.bin cria um arquivo plist do LaunchAgent (com.onedrive.launcher.plist), o que garante que o malware seja iniciado sempre que o usuário fizer login, passando-se por um processo legítimo chamado
Macrasv2, a última carga útil responsável por roubar dados do sistema, coleta informações dos detalhes de login do navegador e cookies encontrados em bancos de dados SQLite, bem como entradas sensíveis do Keychain. Todos os dados coletados são então compactados e enviados via API do bot do Telegram, cujo token foi exposto na superfície.
O legado devastador do Grupo Lazarus no cripto e na tecnologia dos EUA
O lançamento do
Este grupo foi identificado como envolvido em alguns dos maiores roubos da história das criptomoedas, como o roubo de US$ 625 milhões da Ronin Network (Axie Infinity), o roubo de US$ 1,5 bilhão da Bybit, o roubo de US$ 308 milhões da DMM Bitcoin, o roubo de US$ 292 milhões da KelpDAO, o roubo de US$ 285 milhões da Drift e US$ 235 milhões da WazirX.
Após concluir o processo de instalação falsa, o coletor de dados começa a digitalização do sistema, configuração de persistência e instalação da carga útil.
Em contraste com outras técnicas que envolvem exploits complexos, esta não envolve. Isso a torna muito eficaz em alvos valiosos que podem estar gerenciando várias chamadas simultâneas enquanto copiam comandos sem verificá-los.
Dentro do malware Mach-O Man
O malware
Possui extensões para os navegadores Chrome, Firefox, Safari, Brave, Opera e Vivaldi. As informações são transmitidas para o servidor de comando e controle por meio de simples solicitações POST curl nas portas 8888 e 9999.
O módulo persistente minst2.bin cria um arquivo plist do LaunchAgent (com.onedrive.launcher.plist), o que garante que o malware seja iniciado sempre que o usuário fizer login, passando-se por um processo legítimo chamado
Macrasv2, a última carga útil responsável por roubar dados do sistema, coleta informações dos detalhes de login do navegador e cookies encontrados em bancos de dados SQLite, bem como entradas sensíveis do Keychain. Todos os dados coletados são então compactados e enviados via API do bot do Telegram, cujo token foi exposto na superfície.
O legado devastador do Grupo Lazarus no cripto e na tecnologia dos EUA
O lançamento do
Este grupo foi identificado como envolvido em alguns dos maiores roubos da história das criptomoedas, como o roubo de US$ 625 milhões da Ronin Network (Axie Infinity), o roubo de US$ 1,5 bilhão da Bybit, o roubo de US$ 308 milhões da DMM Bitcoin, o roubo de US$ 292 milhões da KelpDAO, o roubo de US$ 285 milhões da Drift e US$ 235 milhões da WazirX.
Após concluir o processo de instalação falsa, o coletor de dados começa a digitalização do sistema, configuração de persistência e instalação da carga útil.
Em contraste com outras técnicas que envolvem exploits complexos, esta não envolve. Isso a torna muito eficaz em alvos valiosos que podem estar gerenciando várias chamadas simultâneas enquanto copiam comandos sem verificá-los.
Dentro do malware Mach-O Man
O malware
Possui extensões para os navegadores Chrome, Firefox, Safari, Brave, Opera e Vivaldi. As informações são transmitidas para o servidor de comando e controle por meio de simples solicitações POST curl nas portas 8888 e 9999.
O módulo persistente minst2.bin cria um arquivo plist do LaunchAgent (com.onedrive.launcher.plist), o que garante que o malware seja iniciado sempre que o usuário fizer login, passando-se por um processo legítimo chamado
Macrasv2, a última carga útil responsável por roubar dados do sistema, coleta informações dos detalhes de login do navegador e cookies encontrados em bancos de dados SQLite, bem como entradas sensíveis do Keychain. Todos os dados coletados são então compactados e enviados via API do bot do Telegram, cujo token foi exposto na superfície.
O legado devastador do Grupo Lazarus no cripto e na tecnologia dos EUA
O lançamento do
Este grupo foi identificado como envolvido em alguns dos maiores roubos da história das criptomoedas, como o roubo de US$ 625 milhões da Ronin Network (Axie Infinity), o roubo de US$ 1,5 bilhão da Bybit, o roubo de US$ 308 milhões da DMM Bitcoin, o roubo de US$ 292 milhões da KelpDAO, o roubo de US$ 285 milhões da Drift e US$ 235 milhões da WazirX.
Clicar no link leva a uma página da web aparentemente autêntica que simula uma mensagem de erro ao tentar se conectar ao Zoom, Teams ou Meet. O site então pede à vítima que copie e cole uma linha de código aparentemente inofensiva no Terminal do Mac para
Ao fazer isso, a vítima pode contornar os mecanismos de segurança do macOS, como o Gatekeeper, já que o ataque origina-se da própria vítima.
Após a execução, o código instala um binário chamado teamsSDK.bin.
O stager baixa o pacote de aplicativo macOS falso e o assina digitalmente com a ferramenta nativa codesign usando uma assinatura ad hoc. Em seguida, pede repetidamente a senha da vítima, exibindo mensagens mal traduzidas que parecem autênticas.
Após concluir o processo de instalação falsa, o coletor de dados começa a digitalização do sistema, configuração de persistência e instalação da carga útil.
Em contraste com outras técnicas que envolvem exploits complexos, esta não envolve. Isso a torna muito eficaz em alvos valiosos que podem estar gerenciando várias chamadas simultâneas enquanto copiam comandos sem verificá-los.
Dentro do malware Mach-O Man
O malware
Possui extensões para os navegadores Chrome, Firefox, Safari, Brave, Opera e Vivaldi. As informações são transmitidas para o servidor de comando e controle por meio de simples solicitações POST curl nas portas 8888 e 9999.
O módulo persistente minst2.bin cria um arquivo plist do LaunchAgent (com.onedrive.launcher.plist), o que garante que o malware seja iniciado sempre que o usuário fizer login, passando-se por um processo legítimo chamado
Macrasv2, a última carga útil responsável por roubar dados do sistema, coleta informações dos detalhes de login do navegador e cookies encontrados em bancos de dados SQLite, bem como entradas sensíveis do Keychain. Todos os dados coletados são então compactados e enviados via API do bot do Telegram, cujo token foi exposto na superfície.
O legado devastador do Grupo Lazarus no cripto e na tecnologia dos EUA
O lançamento do
Este grupo foi identificado como envolvido em alguns dos maiores roubos da história das criptomoedas, como o roubo de US$ 625 milhões da Ronin Network (Axie Infinity), o roubo de US$ 1,5 bilhão da Bybit, o roubo de US$ 308 milhões da DMM Bitcoin, o roubo de US$ 292 milhões da KelpDAO, o roubo de US$ 285 milhões da Drift e US$ 235 milhões da WazirX.
Clicar no link leva a uma página da web aparentemente autêntica que simula uma mensagem de erro ao tentar se conectar ao Zoom, Teams ou Meet. O site então pede à vítima que copie e cole uma linha de código aparentemente inofensiva no Terminal do Mac para
Ao fazer isso, a vítima pode contornar os mecanismos de segurança do macOS, como o Gatekeeper, já que o ataque origina-se da própria vítima.
Após a execução, o código instala um binário chamado teamsSDK.bin.
O stager baixa o pacote de aplicativo macOS falso e o assina digitalmente com a ferramenta nativa codesign usando uma assinatura ad hoc. Em seguida, pede repetidamente a senha da vítima, exibindo mensagens mal traduzidas que parecem autênticas.
Após concluir o processo de instalação falsa, o coletor de dados começa a digitalização do sistema, configuração de persistência e instalação da carga útil.
Em contraste com outras técnicas que envolvem exploits complexos, esta não envolve. Isso a torna muito eficaz em alvos valiosos que podem estar gerenciando várias chamadas simultâneas enquanto copiam comandos sem verificá-los.
Dentro do malware Mach-O Man
O malware
Possui extensões para os navegadores Chrome, Firefox, Safari, Brave, Opera e Vivaldi. As informações são transmitidas para o servidor de comando e controle por meio de simples solicitações POST curl nas portas 8888 e 9999.
O módulo persistente minst2.bin cria um arquivo plist do LaunchAgent (com.onedrive.launcher.plist), o que garante que o malware seja iniciado sempre que o usuário fizer login, passando-se por um processo legítimo chamado
Macrasv2, a última carga útil responsável por roubar dados do sistema, coleta informações dos detalhes de login do navegador e cookies encontrados em bancos de dados SQLite, bem como entradas sensíveis do Keychain. Todos os dados coletados são então compactados e enviados via API do bot do Telegram, cujo token foi exposto na superfície.
O legado devastador do Grupo Lazarus no cripto e na tecnologia dos EUA
O lançamento do
Este grupo foi identificado como envolvido em alguns dos maiores roubos da história das criptomoedas, como o roubo de US$ 625 milhões da Ronin Network (Axie Infinity), o roubo de US$ 1,5 bilhão da Bybit, o roubo de US$ 308 milhões da DMM Bitcoin, o roubo de US$ 292 milhões da KelpDAO, o roubo de US$ 285 milhões da Drift e US$ 235 milhões da WazirX.
Hackers da Coreia do Norte atacam usuários de Mac
Como relatado, este ataque aproveita a confiança que os funcionários depositam em suas ferramentas de comunicação regulares, como Zoom, Microsoft Teams e Google Meet. Isso transformou a colaboração cotidiana em uma via para ataques em nível de sistema.
O primeiro passo é uma isca de engenharia social cuidadosamente elaborada através do Telegram. Esta isca leva a vítima – desenvolvedores, executivos e tomadores de decisão no setor de fintech e cripto – a um convite de reunião urgente por meio da conta de um colega comprometido.
Clicar no link leva a uma página da web aparentemente autêntica que simula uma mensagem de erro ao tentar se conectar ao Zoom, Teams ou Meet. O site então pede à vítima que copie e cole uma linha de código aparentemente inofensiva no Terminal do Mac para
Ao fazer isso, a vítima pode contornar os mecanismos de segurança do macOS, como o Gatekeeper, já que o ataque origina-se da própria vítima.
Após a execução, o código instala um binário chamado teamsSDK.bin.
O stager baixa o pacote de aplicativo macOS falso e o assina digitalmente com a ferramenta nativa codesign usando uma assinatura ad hoc. Em seguida, pede repetidamente a senha da vítima, exibindo mensagens mal traduzidas que parecem autênticas.
Após concluir o processo de instalação falsa, o coletor de dados começa a digitalização do sistema, configuração de persistência e instalação da carga útil.
Em contraste com outras técnicas que envolvem exploits complexos, esta não envolve. Isso a torna muito eficaz em alvos valiosos que podem estar gerenciando várias chamadas simultâneas enquanto copiam comandos sem verificá-los.
Dentro do malware Mach-O Man
O malware
Possui extensões para os navegadores Chrome, Firefox, Safari, Brave, Opera e Vivaldi. As informações são transmitidas para o servidor de comando e controle por meio de simples solicitações POST curl nas portas 8888 e 9999.
O módulo persistente minst2.bin cria um arquivo plist do LaunchAgent (com.onedrive.launcher.plist), o que garante que o malware seja iniciado sempre que o usuário fizer login, passando-se por um processo legítimo chamado
Macrasv2, a última carga útil responsável por roubar dados do sistema, coleta informações dos detalhes de login do navegador e cookies encontrados em bancos de dados SQLite, bem como entradas sensíveis do Keychain. Todos os dados coletados são então compactados e enviados via API do bot do Telegram, cujo token foi exposto na superfície.
O legado devastador do Grupo Lazarus no cripto e na tecnologia dos EUA
O lançamento do
Este grupo foi identificado como envolvido em alguns dos maiores roubos da história das criptomoedas, como o roubo de US$ 625 milhões da Ronin Network (Axie Infinity), o roubo de US$ 1,5 bilhão da Bybit, o roubo de US$ 308 milhões da DMM Bitcoin, o roubo de US$ 292 milhões da KelpDAO, o roubo de US$ 285 milhões da Drift e US$ 235 milhões da WazirX.
Hackers da Coreia do Norte atacam usuários de Mac
Como relatado, este ataque aproveita a confiança que os funcionários depositam em suas ferramentas de comunicação regulares, como Zoom, Microsoft Teams e Google Meet. Isso transformou a colaboração cotidiana em uma via para ataques em nível de sistema.
O primeiro passo é uma isca de engenharia social cuidadosamente elaborada através do Telegram. Esta isca leva a vítima – desenvolvedores, executivos e tomadores de decisão no setor de fintech e cripto – a um convite de reunião urgente por meio da conta de um colega comprometido.
Clicar no link leva a uma página da web aparentemente autêntica que simula uma mensagem de erro ao tentar se conectar ao Zoom, Teams ou Meet. O site então pede à vítima que copie e cole uma linha de código aparentemente inofensiva no Terminal do Mac para
Ao fazer isso, a vítima pode contornar os mecanismos de segurança do macOS, como o Gatekeeper, já que o ataque origina-se da própria vítima.
Após a execução, o código instala um binário chamado teamsSDK.bin.
O stager baixa o pacote de aplicativo macOS falso e o assina digitalmente com a ferramenta nativa codesign usando uma assinatura ad hoc. Em seguida, pede repetidamente a senha da vítima, exibindo mensagens mal traduzidas que parecem autênticas.
Após concluir o processo de instalação falsa, o coletor de dados começa a digitalização do sistema, configuração de persistência e instalação da carga útil.
Em contraste com outras técnicas que envolvem exploits complexos, esta não envolve. Isso a torna muito eficaz em alvos valiosos que podem estar gerenciando várias chamadas simultâneas enquanto copiam comandos sem verificá-los.
Dentro do malware Mach-O Man
O malware
Possui extensões para os navegadores Chrome, Firefox, Safari, Brave, Opera e Vivaldi. As informações são transmitidas para o servidor de comando e controle por meio de simples solicitações POST curl nas portas 8888 e 9999.
O módulo persistente minst2.bin cria um arquivo plist do LaunchAgent (com.onedrive.launcher.plist), o que garante que o malware seja iniciado sempre que o usuário fizer login, passando-se por um processo legítimo chamado
Macrasv2, a última carga útil responsável por roubar dados do sistema, coleta informações dos detalhes de login do navegador e cookies encontrados em bancos de dados SQLite, bem como entradas sensíveis do Keychain. Todos os dados coletados são então compactados e enviados via API do bot do Telegram, cujo token foi exposto na superfície.
O legado devastador do Grupo Lazarus no cripto e na tecnologia dos EUA
O lançamento do
Este grupo foi identificado como envolvido em alguns dos maiores roubos da história das criptomoedas, como o roubo de US$ 625 milhões da Ronin Network (Axie Infinity), o roubo de US$ 1,5 bilhão da Bybit, o roubo de US$ 308 milhões da DMM Bitcoin, o roubo de US$ 292 milhões da KelpDAO, o roubo de US$ 285 milhões da Drift e US$ 235 milhões da WazirX.
O Grupo Lazarus da Coreia do Norte lançou malware avançado direcionado a dispositivos macOS. Chamado de Mach-O Man, ele foi projetado para atacar empresas de cripto, organizações de fintech e executivos-chave que usam Macs para transações financeiras.
O ataque foi identificado pela primeira vez em meados de abril de 2026. Ele usa aplicativos de trabalho populares, como Zoom, Microsoft Teams e Google Meet, para lançar ataques de engenharia social.
Hackers da Coreia do Norte atacam usuários de Mac
Como relatado, este ataque aproveita a confiança que os funcionários depositam em suas ferramentas de comunicação regulares, como Zoom, Microsoft Teams e Google Meet. Isso transformou a colaboração cotidiana em uma via para ataques em nível de sistema.
O primeiro passo é uma isca de engenharia social cuidadosamente elaborada através do Telegram. Esta isca leva a vítima – desenvolvedores, executivos e tomadores de decisão no setor de fintech e cripto – a um convite de reunião urgente por meio da conta de um colega comprometido.
Clicar no link leva a uma página da web aparentemente autêntica que simula uma mensagem de erro ao tentar se conectar ao Zoom, Teams ou Meet. O site então pede à vítima que copie e cole uma linha de código aparentemente inofensiva no Terminal do Mac para
Ao fazer isso, a vítima pode contornar os mecanismos de segurança do macOS, como o Gatekeeper, já que o ataque origina-se da própria vítima.
Após a execução, o código instala um binário chamado teamsSDK.bin.
O stager baixa o pacote de aplicativo macOS falso e o assina digitalmente com a ferramenta nativa codesign usando uma assinatura ad hoc. Em seguida, pede repetidamente a senha da vítima, exibindo mensagens mal traduzidas que parecem autênticas.
Após concluir o processo de instalação falsa, o coletor de dados começa a digitalização do sistema, configuração de persistência e instalação da carga útil.
Em contraste com outras técnicas que envolvem exploits complexos, esta não envolve. Isso a torna muito eficaz em alvos valiosos que podem estar gerenciando várias chamadas simultâneas enquanto copiam comandos sem verificá-los.
Dentro do malware Mach-O Man
O malware
Possui extensões para os navegadores Chrome, Firefox, Safari, Brave, Opera e Vivaldi. As informações são transmitidas para o servidor de comando e controle por meio de simples solicitações POST curl nas portas 8888 e 9999.
O módulo persistente minst2.bin cria um arquivo plist do LaunchAgent (com.onedrive.launcher.plist), o que garante que o malware seja iniciado sempre que o usuário fizer login, passando-se por um processo legítimo chamado
Macrasv2, a última carga útil responsável por roubar dados do sistema, coleta informações dos detalhes de login do navegador e cookies encontrados em bancos de dados SQLite, bem como entradas sensíveis do Keychain. Todos os dados coletados são então compactados e enviados via API do bot do Telegram, cujo token foi exposto na superfície.
O legado devastador do Grupo Lazarus no cripto e na tecnologia dos EUA
O lançamento do
Este grupo foi identificado como envolvido em alguns dos maiores roubos da história das criptomoedas, como o roubo de US$ 625 milhões da Ronin Network (Axie Infinity), o roubo de US$ 1,5 bilhão da Bybit, o roubo de US$ 308 milhões da DMM Bitcoin, o roubo de US$ 292 milhões da KelpDAO, o roubo de US$ 285 milhões da Drift e US$ 235 milhões da WazirX.
O Grupo Lazarus da Coreia do Norte lançou malware avançado direcionado a dispositivos macOS. Chamado de Mach-O Man, ele foi projetado para atacar empresas de cripto, organizações de fintech e executivos-chave que usam Macs para transações financeiras.
O ataque foi identificado pela primeira vez em meados de abril de 2026. Ele usa aplicativos de trabalho populares, como Zoom, Microsoft Teams e Google Meet, para lançar ataques de engenharia social.
Hackers da Coreia do Norte atacam usuários de Mac
Como relatado, este ataque aproveita a confiança que os funcionários depositam em suas ferramentas de comunicação regulares, como Zoom, Microsoft Teams e Google Meet. Isso transformou a colaboração cotidiana em uma via para ataques em nível de sistema.
O primeiro passo é uma isca de engenharia social cuidadosamente elaborada através do Telegram. Esta isca leva a vítima – desenvolvedores, executivos e tomadores de decisão no setor de fintech e cripto – a um convite de reunião urgente por meio da conta de um colega comprometido.
Clicar no link leva a uma página da web aparentemente autêntica que simula uma mensagem de erro ao tentar se conectar ao Zoom, Teams ou Meet. O site então pede à vítima que copie e cole uma linha de código aparentemente inofensiva no Terminal do Mac para
Ao fazer isso, a vítima pode contornar os mecanismos de segurança do macOS, como o Gatekeeper, já que o ataque origina-se da própria vítima.
Após a execução, o código instala um binário chamado teamsSDK.bin.
O stager baixa o pacote de aplicativo macOS falso e o assina digitalmente com a ferramenta nativa codesign usando uma assinatura ad hoc. Em seguida, pede repetidamente a senha da vítima, exibindo mensagens mal traduzidas que parecem autênticas.
Após concluir o processo de instalação falsa, o coletor de dados começa a digitalização do sistema, configuração de persistência e instalação da carga útil.
Em contraste com outras técnicas que envolvem exploits complexos, esta não envolve. Isso a torna muito eficaz em alvos valiosos que podem estar gerenciando várias chamadas simultâneas enquanto copiam comandos sem verificá-los.
Dentro do malware Mach-O Man
O malware
Possui extensões para os navegadores Chrome, Firefox, Safari, Brave, Opera e Vivaldi. As informações são transmitidas para o servidor de comando e controle por meio de simples solicitações POST curl nas portas 8888 e 9999.
O módulo persistente minst2.bin cria um arquivo plist do LaunchAgent (com.onedrive.launcher.plist), o que garante que o malware seja iniciado sempre que o usuário fizer login, passando-se por um processo legítimo chamado
Macrasv2, a última carga útil responsável por roubar dados do sistema, coleta informações dos detalhes de login do navegador e cookies encontrados em bancos de dados SQLite, bem como entradas sensíveis do Keychain. Todos os dados coletados são então compactados e enviados via API do bot do Telegram, cujo token foi exposto na superfície.
O legado devastador do Grupo Lazarus no cripto e na tecnologia dos EUA
O lançamento do
Este grupo foi identificado como envolvido em alguns dos maiores roubos da história das criptomoedas, como o roubo de US$ 625 milhões da Ronin Network (Axie Infinity), o roubo de US$ 1,5 bilhão da Bybit, o roubo de US$ 308 milhões da DMM Bitcoin, o roubo de US$ 292 milhões da KelpDAO, o roubo de US$ 285 milhões da Drift e US$ 235 milhões da WazirX.
Se você está lendo isso, já está à frente. Mantenha-se assim com nosso boletim informativo.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Florence Muchai
Florence cobre notícias sobre criptoativos, jogos, tecnologia e IA há 6 anos. Sua graduação em Estudos de Computação na Meru University of Science and Technology e em Gestão de Desastres e Diplomacia Internacional no MMUST equipam-na plenamente com habilidades linguísticas, de observação e técnicas. Florence trabalhou no VAP Group e como editora em várias casas de mídia de criptoativos.
