Группа «Лазарь» из Северной Кореи атакует криптоиндустрию и высокопоставленных руководителей с помощью вредоносного комплекта для macOS под названием «Mach-O Man»

Постоянный модуль minst2.bin создает файл plist LaunchAgent (com.onedrive.launcher.plist), который обеспечивает запуск вредоносного ПО при каждом входе пользователя в систему, маскируясь под легитимный процесс под названием «OneDrive» или «Antivirus Service».

Macrasv2, последний полезный модуль, отвечающий за кражу данных, собирает информацию из деталей входа в браузеры и файлов cookie, найденных в базах данных SQLite, а также из конфиденциальных записей Keychain. Все собранные данные затем упаковываются в архив и отправляются через Telegram Bot API, токен которого был скомпрометирован.

Разрушительное наследие группы Lazarus в сфере криптовалют и американских технологий

Запуск «Mach-O Man» соответствует долгосрочным усилиям группы Lazarus по проведению кибератак в целях финансовой выгоды. Они привели к огромным потерям в мире криптовалют, особенно для организаций, базирующихся в Соединенных Штатах.

Эта группа была идентифицирована как причастная к некоторым крупнейшим кражам в истории криптовалют, таким как кража $625 млн из сети Ronin (Axie Infinity), кража $1,5 млрд на Bybit, кража $308 млн на DMM Bitcoin, кража $292 млн из KelpDAO, кража $285 млн на Drift и $235 млн на WazirX.

Вредоносное ПО «Mach-O Man» использует несколько этапов, каждый из которых содержит Mach-O бинарные файлы, скомпилированные с помощью Go. Вредоносное ПО содержит модуль профилирования, который собирает системную информацию, включая имя хоста, UUID, информацию о процессоре, сетевую конфигурацию и запущенные процессы

Оно имеет расширения для браузеров Chrome, Firefox, Safari, Brave, Opera и Vivaldi. Информация передается на сервер управления и контроля через простые POST-запросы curl на портах 8888 и 9999.

Постоянный модуль minst2.bin создает файл plist LaunchAgent (com.onedrive.launcher.plist), который обеспечивает запуск вредоносного ПО при каждом входе пользователя в систему, маскируясь под легитимный процесс под названием «OneDrive» или «Antivirus Service».

Macrasv2, последний полезный модуль, отвечающий за кражу данных, собирает информацию из деталей входа в браузеры и файлов cookie, найденных в базах данных SQLite, а также из конфиденциальных записей Keychain. Все собранные данные затем упаковываются в архив и отправляются через Telegram Bot API, токен которого был скомпрометирован.

Разрушительное наследие группы Lazarus в сфере криптовалют и американских технологий

Запуск «Mach-O Man» соответствует долгосрочным усилиям группы Lazarus по проведению кибератак в целях финансовой выгоды. Они привели к огромным потерям в мире криптовалют, особенно для организаций, базирующихся в Соединенных Штатах.

Эта группа была идентифицирована как причастная к некоторым крупнейшим кражам в истории криптовалют, таким как кража $625 млн из сети Ronin (Axie Infinity), кража $1,5 млрд на Bybit, кража $308 млн на DMM Bitcoin, кража $292 млн из KelpDAO, кража $285 млн на Drift и $235 млн на WazirX.

Вредоносное ПО «Mach-O Man» использует несколько этапов, каждый из которых содержит Mach-O бинарные файлы, скомпилированные с помощью Go. Вредоносное ПО содержит модуль профилирования, который собирает системную информацию, включая имя хоста, UUID, информацию о процессоре, сетевую конфигурацию и запущенные процессы

Оно имеет расширения для браузеров Chrome, Firefox, Safari, Brave, Opera и Vivaldi. Информация передается на сервер управления и контроля через простые POST-запросы curl на портах 8888 и 9999.

Постоянный модуль minst2.bin создает файл plist LaunchAgent (com.onedrive.launcher.plist), который обеспечивает запуск вредоносного ПО при каждом входе пользователя в систему, маскируясь под легитимный процесс под названием «OneDrive» или «Antivirus Service».

Macrasv2, последний полезный модуль, отвечающий за кражу данных, собирает информацию из деталей входа в браузеры и файлов cookie, найденных в базах данных SQLite, а также из конфиденциальных записей Keychain. Все собранные данные затем упаковываются в архив и отправляются через Telegram Bot API, токен которого был скомпрометирован.

Разрушительное наследие группы Lazarus в сфере криптовалют и американских технологий

Запуск «Mach-O Man» соответствует долгосрочным усилиям группы Lazarus по проведению кибератак в целях финансовой выгоды. Они привели к огромным потерям в мире криптовалют, особенно для организаций, базирующихся в Соединенных Штатах.

Эта группа была идентифицирована как причастная к некоторым крупнейшим кражам в истории криптовалют, таким как кража $625 млн из сети Ronin (Axie Infinity), кража $1,5 млрд на Bybit, кража $308 млн на DMM Bitcoin, кража $292 млн из KelpDAO, кража $285 млн на Drift и $235 млн на WazirX.

После завершения процесса фиктивной установки стелер начинает сбор отпечатков системы, настройку постоянства и установку полезной нагрузки.

В отличие от других техник, включающих сложные эксплойты, эта техника их не использует. Это делает ее очень эффективной против ценных целей, которые могут управлять несколькими одновременными звонками, копируя команды без их проверки.

Внутри вредоносного ПО Mach-O Man

Вредоносное ПО «Mach-O Man» использует несколько этапов, каждый из которых содержит Mach-O бинарные файлы, скомпилированные с помощью Go. Вредоносное ПО содержит модуль профилирования, который собирает системную информацию, включая имя хоста, UUID, информацию о процессоре, сетевую конфигурацию и запущенные процессы

Оно имеет расширения для браузеров Chrome, Firefox, Safari, Brave, Opera и Vivaldi. Информация передается на сервер управления и контроля через простые POST-запросы curl на портах 8888 и 9999.

Постоянный модуль minst2.bin создает файл plist LaunchAgent (com.onedrive.launcher.plist), который обеспечивает запуск вредоносного ПО при каждом входе пользователя в систему, маскируясь под легитимный процесс под названием «OneDrive» или «Antivirus Service».

Macrasv2, последний полезный модуль, отвечающий за кражу данных, собирает информацию из деталей входа в браузеры и файлов cookie, найденных в базах данных SQLite, а также из конфиденциальных записей Keychain. Все собранные данные затем упаковываются в архив и отправляются через Telegram Bot API, токен которого был скомпрометирован.

Разрушительное наследие группы Lazarus в сфере криптовалют и американских технологий

Запуск «Mach-O Man» соответствует долгосрочным усилиям группы Lazarus по проведению кибератак в целях финансовой выгоды. Они привели к огромным потерям в мире криптовалют, особенно для организаций, базирующихся в Соединенных Штатах.

Эта группа была идентифицирована как причастная к некоторым крупнейшим кражам в истории криптовалют, таким как кража $625 млн из сети Ronin (Axie Infinity), кража $1,5 млрд на Bybit, кража $308 млн на DMM Bitcoin, кража $292 млн из KelpDAO, кража $285 млн на Drift и $235 млн на WazirX.

После завершения процесса фиктивной установки стелер начинает сбор отпечатков системы, настройку постоянства и установку полезной нагрузки.

В отличие от других техник, включающих сложные эксплойты, эта техника их не использует. Это делает ее очень эффективной против ценных целей, которые могут управлять несколькими одновременными звонками, копируя команды без их проверки.

Внутри вредоносного ПО Mach-O Man

Вредоносное ПО «Mach-O Man» использует несколько этапов, каждый из которых содержит Mach-O бинарные файлы, скомпилированные с помощью Go. Вредоносное ПО содержит модуль профилирования, который собирает системную информацию, включая имя хоста, UUID, информацию о процессоре, сетевую конфигурацию и запущенные процессы

Оно имеет расширения для браузеров Chrome, Firefox, Safari, Brave, Opera и Vivaldi. Информация передается на сервер управления и контроля через простые POST-запросы curl на портах 8888 и 9999.

Постоянный модуль minst2.bin создает файл plist LaunchAgent (com.onedrive.launcher.plist), который обеспечивает запуск вредоносного ПО при каждом входе пользователя в систему, маскируясь под легитимный процесс под названием «OneDrive» или «Antivirus Service».

Macrasv2, последний полезный модуль, отвечающий за кражу данных, собирает информацию из деталей входа в браузеры и файлов cookie, найденных в базах данных SQLite, а также из конфиденциальных записей Keychain. Все собранные данные затем упаковываются в архив и отправляются через Telegram Bot API, токен которого был скомпрометирован.

Разрушительное наследие группы Lazarus в сфере криптовалют и американских технологий

Запуск «Mach-O Man» соответствует долгосрочным усилиям группы Lazarus по проведению кибератак в целях финансовой выгоды. Они привели к огромным потерям в мире криптовалют, особенно для организаций, базирующихся в Соединенных Штатах.

Эта группа была идентифицирована как причастная к некоторым крупнейшим кражам в истории криптовалют, таким как кража $625 млн из сети Ronin (Axie Infinity), кража $1,5 млрд на Bybit, кража $308 млн на DMM Bitcoin, кража $292 млн из KelpDAO, кража $285 млн на Drift и $235 млн на WazirX.

После завершения процесса фиктивной установки стелер начинает сбор отпечатков системы, настройку постоянства и установку полезной нагрузки.

В отличие от других техник, включающих сложные эксплойты, эта техника их не использует. Это делает ее очень эффективной против ценных целей, которые могут управлять несколькими одновременными звонками, копируя команды без их проверки.

Внутри вредоносного ПО Mach-O Man

Вредоносное ПО «Mach-O Man» использует несколько этапов, каждый из которых содержит Mach-O бинарные файлы, скомпилированные с помощью Go. Вредоносное ПО содержит модуль профилирования, который собирает системную информацию, включая имя хоста, UUID, информацию о процессоре, сетевую конфигурацию и запущенные процессы

Оно имеет расширения для браузеров Chrome, Firefox, Safari, Brave, Opera и Vivaldi. Информация передается на сервер управления и контроля через простые POST-запросы curl на портах 8888 и 9999.

Постоянный модуль minst2.bin создает файл plist LaunchAgent (com.onedrive.launcher.plist), который обеспечивает запуск вредоносного ПО при каждом входе пользователя в систему, маскируясь под легитимный процесс под названием «OneDrive» или «Antivirus Service».

Macrasv2, последний полезный модуль, отвечающий за кражу данных, собирает информацию из деталей входа в браузеры и файлов cookie, найденных в базах данных SQLite, а также из конфиденциальных записей Keychain. Все собранные данные затем упаковываются в архив и отправляются через Telegram Bot API, токен которого был скомпрометирован.

Разрушительное наследие группы Lazarus в сфере криптовалют и американских технологий

Запуск «Mach-O Man» соответствует долгосрочным усилиям группы Lazarus по проведению кибератак в целях финансовой выгоды. Они привели к огромным потерям в мире криптовалют, особенно для организаций, базирующихся в Соединенных Штатах.

Эта группа была идентифицирована как причастная к некоторым крупнейшим кражам в истории криптовалют, таким как кража $625 млн из сети Ronin (Axie Infinity), кража $1,5 млрд на Bybit, кража $308 млн на DMM Bitcoin, кража $292 млн из KelpDAO, кража $285 млн на Drift и $235 млн на WazirX.

Нажатие на ссылку ведет на внешне аутентичную веб-страницу, которая имитирует сообщение об ошибке при попытке подключения к Zoom, Teams или Meet. Затем сайт просит жертву скопировать и вставить看似无害的 строку кода в терминал Mac, чтобы «решить» проблему.

Делая это, злоумышленник может обойти механизмы безопасности macOS, такие как Gatekeeper, поскольку атака исходит от самого пользователя.

После выполнения код устанавливает бинарный файл с именем teamsSDK.bin.

Стелер загружает фиктивный пакет приложения macOS и подписывает его цифровым сертификатом с помощью встроенного инструмента codesign, используя ad hoc подпись. Затем он неоднократно запрашивает пароль у жертвы, отображая плохо переведенные сообщения, которые выглядят аутентично. 

После завершения процесса фиктивной установки стелер начинает сбор отпечатков системы, настройку постоянства и установку полезной нагрузки.

В отличие от других техник, включающих сложные эксплойты, эта техника их не использует. Это делает ее очень эффективной против ценных целей, которые могут управлять несколькими одновременными звонками, копируя команды без их проверки.

Внутри вредоносного ПО Mach-O Man

Вредоносное ПО «Mach-O Man» использует несколько этапов, каждый из которых содержит Mach-O бинарные файлы, скомпилированные с помощью Go. Вредоносное ПО содержит модуль профилирования, который собирает системную информацию, включая имя хоста, UUID, информацию о процессоре, сетевую конфигурацию и запущенные процессы

Оно имеет расширения для браузеров Chrome, Firefox, Safari, Brave, Opera и Vivaldi. Информация передается на сервер управления и контроля через простые POST-запросы curl на портах 8888 и 9999.

Постоянный модуль minst2.bin создает файл plist LaunchAgent (com.onedrive.launcher.plist), который обеспечивает запуск вредоносного ПО при каждом входе пользователя в систему, маскируясь под легитимный процесс под названием «OneDrive» или «Antivirus Service».

Macrasv2, последний полезный модуль, отвечающий за кражу данных, собирает информацию из деталей входа в браузеры и файлов cookie, найденных в базах данных SQLite, а также из конфиденциальных записей Keychain. Все собранные данные затем упаковываются в архив и отправляются через Telegram Bot API, токен которого был скомпрометирован.

Разрушительное наследие группы Lazarus в сфере криптовалют и американских технологий

Запуск «Mach-O Man» соответствует долгосрочным усилиям группы Lazarus по проведению кибератак в целях финансовой выгоды. Они привели к огромным потерям в мире криптовалют, особенно для организаций, базирующихся в Соединенных Штатах.

Эта группа была идентифицирована как причастная к некоторым крупнейшим кражам в истории криптовалют, таким как кража $625 млн из сети Ronin (Axie Infinity), кража $1,5 млрд на Bybit, кража $308 млн на DMM Bitcoin, кража $292 млн из KelpDAO, кража $285 млн на Drift и $235 млн на WazirX.

Нажатие на ссылку ведет на внешне аутентичную веб-страницу, которая имитирует сообщение об ошибке при попытке подключения к Zoom, Teams или Meet. Затем сайт просит жертву скопировать и вставить看似无害的 строку кода в терминал Mac, чтобы «решить» проблему.

Делая это, злоумышленник может обойти механизмы безопасности macOS, такие как Gatekeeper, поскольку атака исходит от самого пользователя.

После выполнения код устанавливает бинарный файл с именем teamsSDK.bin.

Стелер загружает фиктивный пакет приложения macOS и подписывает его цифровым сертификатом с помощью встроенного инструмента codesign, используя ad hoc подпись. Затем он неоднократно запрашивает пароль у жертвы, отображая плохо переведенные сообщения, которые выглядят аутентично. 

После завершения процесса фиктивной установки стелер начинает сбор отпечатков системы, настройку постоянства и установку полезной нагрузки.

В отличие от других техник, включающих сложные эксплойты, эта техника их не использует. Это делает ее очень эффективной против ценных целей, которые могут управлять несколькими одновременными звонками, копируя команды без их проверки.

Внутри вредоносного ПО Mach-O Man

Вредоносное ПО «Mach-O Man» использует несколько этапов, каждый из которых содержит Mach-O бинарные файлы, скомпилированные с помощью Go. Вредоносное ПО содержит модуль профилирования, который собирает системную информацию, включая имя хоста, UUID, информацию о процессоре, сетевую конфигурацию и запущенные процессы

Оно имеет расширения для браузеров Chrome, Firefox, Safari, Brave, Opera и Vivaldi. Информация передается на сервер управления и контроля через простые POST-запросы curl на портах 8888 и 9999.

Постоянный модуль minst2.bin создает файл plist LaunchAgent (com.onedrive.launcher.plist), который обеспечивает запуск вредоносного ПО при каждом входе пользователя в систему, маскируясь под легитимный процесс под названием «OneDrive» или «Antivirus Service».

Macrasv2, последний полезный модуль, отвечающий за кражу данных, собирает информацию из деталей входа в браузеры и файлов cookie, найденных в базах данных SQLite, а также из конфиденциальных записей Keychain. Все собранные данные затем упаковываются в архив и отправляются через Telegram Bot API, токен которого был скомпрометирован.

Разрушительное наследие группы Lazarus в сфере криптовалют и американских технологий

Запуск «Mach-O Man» соответствует долгосрочным усилиям группы Lazarus по проведению кибератак в целях финансовой выгоды. Они привели к огромным потерям в мире криптовалют, особенно для организаций, базирующихся в Соединенных Штатах.

Эта группа была идентифицирована как причастная к некоторым крупнейшим кражам в истории криптовалют, таким как кража $625 млн из сети Ronin (Axie Infinity), кража $1,5 млрд на Bybit, кража $308 млн на DMM Bitcoin, кража $292 млн из KelpDAO, кража $285 млн на Drift и $235 млн на WazirX.

Хакеры из Северной Кореи охотятся на пользователей Mac

Как сообщалось, эта атака использует доверие сотрудников к их обычным инструментам связи, таким как Zoom, Microsoft Teams и Google Meet. Это превратило повседневное сотрудничество в канал для атак на уровне системы.

Первый шаг — тщательно подготовленная социальная инженерия через Telegram. Эта приманка заставляет жертву — разработчиков, руководителей и лиц, принимающих решения в сфере финтеха и криптовалют, — принять срочное приглашение на встречу от аккаунта скомпрометированного коллеги.

Нажатие на ссылку ведет на внешне аутентичную веб-страницу, которая имитирует сообщение об ошибке при попытке подключения к Zoom, Teams или Meet. Затем сайт просит жертву скопировать и вставить看似无害的 строку кода в терминал Mac, чтобы «решить» проблему.

Делая это, злоумышленник может обойти механизмы безопасности macOS, такие как Gatekeeper, поскольку атака исходит от самого пользователя.

После выполнения код устанавливает бинарный файл с именем teamsSDK.bin.

Стелер загружает фиктивный пакет приложения macOS и подписывает его цифровым сертификатом с помощью встроенного инструмента codesign, используя ad hoc подпись. Затем он неоднократно запрашивает пароль у жертвы, отображая плохо переведенные сообщения, которые выглядят аутентично. 

После завершения процесса фиктивной установки стелер начинает сбор отпечатков системы, настройку постоянства и установку полезной нагрузки.

В отличие от других техник, включающих сложные эксплойты, эта техника их не использует. Это делает ее очень эффективной против ценных целей, которые могут управлять несколькими одновременными звонками, копируя команды без их проверки.

Внутри вредоносного ПО Mach-O Man

Вредоносное ПО «Mach-O Man» использует несколько этапов, каждый из которых содержит Mach-O бинарные файлы, скомпилированные с помощью Go. Вредоносное ПО содержит модуль профилирования, который собирает системную информацию, включая имя хоста, UUID, информацию о процессоре, сетевую конфигурацию и запущенные процессы

Оно имеет расширения для браузеров Chrome, Firefox, Safari, Brave, Opera и Vivaldi. Информация передается на сервер управления и контроля через простые POST-запросы curl на портах 8888 и 9999.

Постоянный модуль minst2.bin создает файл plist LaunchAgent (com.onedrive.launcher.plist), который обеспечивает запуск вредоносного ПО при каждом входе пользователя в систему, маскируясь под легитимный процесс под названием «OneDrive» или «Antivirus Service».

Macrasv2, последний полезный модуль, отвечающий за кражу данных, собирает информацию из деталей входа в браузеры и файлов cookie, найденных в базах данных SQLite, а также из конфиденциальных записей Keychain. Все собранные данные затем упаковываются в архив и отправляются через Telegram Bot API, токен которого был скомпрометирован.

Разрушительное наследие группы Lazarus в сфере криптовалют и американских технологий

Запуск «Mach-O Man» соответствует долгосрочным усилиям группы Lazarus по проведению кибератак в целях финансовой выгоды. Они привели к огромным потерям в мире криптовалют, особенно для организаций, базирующихся в Соединенных Штатах.

Эта группа была идентифицирована как причастная к некоторым крупнейшим кражам в истории криптовалют, таким как кража $625 млн из сети Ronin (Axie Infinity), кража $1,5 млрд на Bybit, кража $308 млн на DMM Bitcoin, кража $292 млн из KelpDAO, кража $285 млн на Drift и $235 млн на WazirX.

Хакеры из Северной Кореи охотятся на пользователей Mac

Как сообщалось, эта атака использует доверие сотрудников к их обычным инструментам связи, таким как Zoom, Microsoft Teams и Google Meet. Это превратило повседневное сотрудничество в канал для атак на уровне системы.

Первый шаг — тщательно подготовленная социальная инженерия через Telegram. Эта приманка заставляет жертву — разработчиков, руководителей и лиц, принимающих решения в сфере финтеха и криптовалют, — принять срочное приглашение на встречу от аккаунта скомпрометированного коллеги.

Нажатие на ссылку ведет на внешне аутентичную веб-страницу, которая имитирует сообщение об ошибке при попытке подключения к Zoom, Teams или Meet. Затем сайт просит жертву скопировать и вставить看似无害的 строку кода в терминал Mac, чтобы «решить» проблему.

Делая это, злоумышленник может обойти механизмы безопасности macOS, такие как Gatekeeper, поскольку атака исходит от самого пользователя.

После выполнения код устанавливает бинарный файл с именем teamsSDK.bin.

Стелер загружает фиктивный пакет приложения macOS и подписывает его цифровым сертификатом с помощью встроенного инструмента codesign, используя ad hoc подпись. Затем он неоднократно запрашивает пароль у жертвы, отображая плохо переведенные сообщения, которые выглядят аутентично. 

После завершения процесса фиктивной установки стелер начинает сбор отпечатков системы, настройку постоянства и установку полезной нагрузки.

В отличие от других техник, включающих сложные эксплойты, эта техника их не использует. Это делает ее очень эффективной против ценных целей, которые могут управлять несколькими одновременными звонками, копируя команды без их проверки.

Внутри вредоносного ПО Mach-O Man

Вредоносное ПО «Mach-O Man» использует несколько этапов, каждый из которых содержит Mach-O бинарные файлы, скомпилированные с помощью Go. Вредоносное ПО содержит модуль профилирования, который собирает системную информацию, включая имя хоста, UUID, информацию о процессоре, сетевую конфигурацию и запущенные процессы

Оно имеет расширения для браузеров Chrome, Firefox, Safari, Brave, Opera и Vivaldi. Информация передается на сервер управления и контроля через простые POST-запросы curl на портах 8888 и 9999.

Постоянный модуль minst2.bin создает файл plist LaunchAgent (com.onedrive.launcher.plist), который обеспечивает запуск вредоносного ПО при каждом входе пользователя в систему, маскируясь под легитимный процесс под названием «OneDrive» или «Antivirus Service».

Macrasv2, последний полезный модуль, отвечающий за кражу данных, собирает информацию из деталей входа в браузеры и файлов cookie, найденных в базах данных SQLite, а также из конфиденциальных записей Keychain. Все собранные данные затем упаковываются в архив и отправляются через Telegram Bot API, токен которого был скомпрометирован.

Разрушительное наследие группы Lazarus в сфере криптовалют и американских технологий

Запуск «Mach-O Man» соответствует долгосрочным усилиям группы Lazarus по проведению кибератак в целях финансовой выгоды. Они привели к огромным потерям в мире криптовалют, особенно для организаций, базирующихся в Соединенных Штатах.

Эта группа была идентифицирована как причастная к некоторым крупнейшим кражам в истории криптовалют, таким как кража $625 млн из сети Ronin (Axie Infinity), кража $1,5 млрд на Bybit, кража $308 млн на DMM Bitcoin, кража $292 млн из KelpDAO, кража $285 млн на Drift и $235 млн на WazirX.

Группа Lazarus из Северной Кореи запустила продвинутое вредоносное ПО, нацеленное на устройства macOS. Mach-O Man, как его называют, предназначен для атак на криптокомпании, финтех-организации и ключевых руководителей, использующих Mac для финансовых транзакций.

Атака была впервые выявлена в середине апреля 2026 года. Она использует популярные рабочие приложения, такие как Zoom, Microsoft Teams и Google Meet, для запуска атак социальной инженерии.

Хакеры из Северной Кореи охотятся на пользователей Mac

Как сообщалось, эта атака использует доверие сотрудников к их обычным инструментам связи, таким как Zoom, Microsoft Teams и Google Meet. Это превратило повседневное сотрудничество в канал для атак на уровне системы.

Первый шаг — тщательно подготовленная социальная инженерия через Telegram. Эта приманка заставляет жертву — разработчиков, руководителей и лиц, принимающих решения в сфере финтеха и криптовалют, — принять срочное приглашение на встречу от аккаунта скомпрометированного коллеги.

Нажатие на ссылку ведет на внешне аутентичную веб-страницу, которая имитирует сообщение об ошибке при попытке подключения к Zoom, Teams или Meet. Затем сайт просит жертву скопировать и вставить看似无害的 строку кода в терминал Mac, чтобы «решить» проблему.

Делая это, злоумышленник может обойти механизмы безопасности macOS, такие как Gatekeeper, поскольку атака исходит от самого пользователя.

После выполнения код устанавливает бинарный файл с именем teamsSDK.bin.

Стелер загружает фиктивный пакет приложения macOS и подписывает его цифровым сертификатом с помощью встроенного инструмента codesign, используя ad hoc подпись. Затем он неоднократно запрашивает пароль у жертвы, отображая плохо переведенные сообщения, которые выглядят аутентично. 

После завершения процесса фиктивной установки стелер начинает сбор отпечатков системы, настройку постоянства и установку полезной нагрузки.

В отличие от других техник, включающих сложные эксплойты, эта техника их не использует. Это делает ее очень эффективной против ценных целей, которые могут управлять несколькими одновременными звонками, копируя команды без их проверки.

Внутри вредоносного ПО Mach-O Man

Вредоносное ПО «Mach-O Man» использует несколько этапов, каждый из которых содержит Mach-O бинарные файлы, скомпилированные с помощью Go. Вредоносное ПО содержит модуль профилирования, который собирает системную информацию, включая имя хоста, UUID, информацию о процессоре, сетевую конфигурацию и запущенные процессы

Оно имеет расширения для браузеров Chrome, Firefox, Safari, Brave, Opera и Vivaldi. Информация передается на сервер управления и контроля через простые POST-запросы curl на портах 8888 и 9999.

Постоянный модуль minst2.bin создает файл plist LaunchAgent (com.onedrive.launcher.plist), который обеспечивает запуск вредоносного ПО при каждом входе пользователя в систему, маскируясь под легитимный процесс под названием «OneDrive» или «Antivirus Service».

Macrasv2, последний полезный модуль, отвечающий за кражу данных, собирает информацию из деталей входа в браузеры и файлов cookie, найденных в базах данных SQLite, а также из конфиденциальных записей Keychain. Все собранные данные затем упаковываются в архив и отправляются через Telegram Bot API, токен которого был скомпрометирован.

Разрушительное наследие группы Lazarus в сфере криптовалют и американских технологий

Запуск «Mach-O Man» соответствует долгосрочным усилиям группы Lazarus по проведению кибератак в целях финансовой выгоды. Они привели к огромным потерям в мире криптовалют, особенно для организаций, базирующихся в Соединенных Штатах.

Эта группа была идентифицирована как причастная к некоторым крупнейшим кражам в истории криптовалют, таким как кража $625 млн из сети Ronin (Axie Infinity), кража $1,5 млрд на Bybit, кража $308 млн на DMM Bitcoin, кража $292 млн из KelpDAO, кража $285 млн на Drift и $235 млн на WazirX.

Группа Lazarus из Северной Кореи запустила продвинутое вредоносное ПО, нацеленное на устройства macOS. Mach-O Man, как его называют, предназначен для атак на криптокомпании, финтех-организации и ключевых руководителей, использующих Mac для финансовых транзакций.

Атака была впервые выявлена в середине апреля 2026 года. Она использует популярные рабочие приложения, такие как Zoom, Microsoft Teams и Google Meet, для запуска атак социальной инженерии.

Хакеры из Северной Кореи охотятся на пользователей Mac

Как сообщалось, эта атака использует доверие сотрудников к их обычным инструментам связи, таким как Zoom, Microsoft Teams и Google Meet. Это превратило повседневное сотрудничество в канал для атак на уровне системы.

Первый шаг — тщательно подготовленная социальная инженерия через Telegram. Эта приманка заставляет жертву — разработчиков, руководителей и лиц, принимающих решения в сфере финтеха и криптовалют, — принять срочное приглашение на встречу от аккаунта скомпрометированного коллеги.

Нажатие на ссылку ведет на внешне аутентичную веб-страницу, которая имитирует сообщение об ошибке при попытке подключения к Zoom, Teams или Meet. Затем сайт просит жертву скопировать и вставить看似无害的 строку кода в терминал Mac, чтобы «решить» проблему.

Делая это, злоумышленник может обойти механизмы безопасности macOS, такие как Gatekeeper, поскольку атака исходит от самого пользователя.

После выполнения код устанавливает бинарный файл с именем teamsSDK.bin.

Стелер загружает фиктивный пакет приложения macOS и подписывает его цифровым сертификатом с помощью встроенного инструмента codesign, используя ad hoc подпись. Затем он неоднократно запрашивает пароль у жертвы, отображая плохо переведенные сообщения, которые выглядят аутентично. 

После завершения процесса фиктивной установки стелер начинает сбор отпечатков системы, настройку постоянства и установку полезной нагрузки.

В отличие от других техник, включающих сложные эксплойты, эта техника их не использует. Это делает ее очень эффективной против ценных целей, которые могут управлять несколькими одновременными звонками, копируя команды без их проверки.

Внутри вредоносного ПО Mach-O Man

Вредоносное ПО «Mach-O Man» использует несколько этапов, каждый из которых содержит Mach-O бинарные файлы, скомпилированные с помощью Go. Вредоносное ПО содержит модуль профилирования, который собирает системную информацию, включая имя хоста, UUID, информацию о процессоре, сетевую конфигурацию и запущенные процессы

Оно имеет расширения для браузеров Chrome, Firefox, Safari, Brave, Opera и Vivaldi. Информация передается на сервер управления и контроля через простые POST-запросы curl на портах 8888 и 9999.

Постоянный модуль minst2.bin создает файл plist LaunchAgent (com.onedrive.launcher.plist), который обеспечивает запуск вредоносного ПО при каждом входе пользователя в систему, маскируясь под легитимный процесс под названием «OneDrive» или «Antivirus Service».

Macrasv2, последний полезный модуль, отвечающий за кражу данных, собирает информацию из деталей входа в браузеры и файлов cookie, найденных в базах данных SQLite, а также из конфиденциальных записей Keychain. Все собранные данные затем упаковываются в архив и отправляются через Telegram Bot API, токен которого был скомпрометирован.

Разрушительное наследие группы Lazarus в сфере криптовалют и американских технологий

Запуск «Mach-O Man» соответствует долгосрочным усилиям группы Lazarus по проведению кибератак в целях финансовой выгоды. Они привели к огромным потерям в мире криптовалют, особенно для организаций, базирующихся в Соединенных Штатах.

Эта группа была идентифицирована как причастная к некоторым крупнейшим кражам в истории криптовалют, таким как кража $625 млн из сети Ronin (Axie Infinity), кража $1,5 млрд на Bybit, кража $308 млн на DMM Bitcoin, кража $292 млн из KelpDAO, кража $285 млн на Drift и $235 млн на WazirX.