- 朝鲜“Lazarus 集团”推出了“Mach-O Man”，这是一种针对加密货币和金融科技领域 macOS 用户的复杂恶意软件套件。
- 该恶意软件会窃取浏览器凭据、Cookie、钥匙串数据和系统信息。
- 这项技术将 Lazarus 集团的攻击范围扩展至在 Apple 设备上处理关键钱包和密钥的高价值高管及开发人员。
朝鲜“拉撒路”集团以‘Mach-O Man’macOS恶意软件套件瞄准加密货币和高价值高管
持久模块minst2.bin会投放一个LaunchAgent plist文件（com.onedrive.launcher.plist），确保恶意软件每次用户登录时启动，伪装成名为“OneDrive”或“Antivirus Service”的合法进程。
Macrasv2是负责从系统窃取数据的最后一个有效载荷，它收集SQLite数据库中发现的浏览器登录详细信息和Cookie以及敏感的Keychain条目。所有收集的数据随后被压缩并通过Telegram bot API发送，其令牌已在表面暴露。
拉撒路集团在加密和美国科技领域的毁灭性遗产
该组织已被确认参与了加密货币历史上的一些最大规模盗窃案，包括从 Ronin Network（Axie Infinity）盗窃的 6.25 亿美元、从 Bybit 盗窃的 15 亿美元、从 DMM Bitcoin 盗窃的 3.08 亿美元、从 KelpDAO 盗窃的 2.92 亿美元、从 Drift 盗窃的 2.85 亿美元，以及从 WazirX 盗窃的 2.35 亿美元。
“Mach-O Man”的发布符合拉撒路集团长期为经济利益进行网络攻击的努力。这给加密世界造成了巨大损失，尤其是基于美国的实体。
“Mach-O Man”恶意软件使用多个阶段，每个阶段都包含Go编译的Mach-O二进制文件。恶意软件包含一个分析器模块，用于收集系统信息，包括主机名、UUID、CPU信息、网络配置和正在运行的进程。
朝鲜“拉撒路”集团以‘Mach-O Man’macOS恶意软件套件瞄准加密货币和高价值高管
持久模块minst2.bin会投放一个LaunchAgent plist文件（com.onedrive.launcher.plist），确保恶意软件每次用户登录时启动，伪装成名为“OneDrive”或“Antivirus Service”的合法进程。
Macrasv2是负责从系统窃取数据的最后一个有效载荷，它收集SQLite数据库中发现的浏览器登录详细信息和Cookie以及敏感的Keychain条目。所有收集的数据随后被压缩并通过Telegram bot API发送，其令牌已在表面暴露。
拉撒路集团在加密和美国科技领域的毁灭性遗产
该组织已被确认参与了加密货币历史上的一些最大规模盗窃案，包括从 Ronin Network（Axie Infinity）盗窃的 6.25 亿美元、从 Bybit 盗窃的 15 亿美元、从 DMM Bitcoin 盗窃的 3.08 亿美元、从 KelpDAO 盗窃的 2.92 亿美元、从 Drift 盗窃的 2.85 亿美元，以及从 WazirX 盗窃的 2.35 亿美元。
“Mach-O Man”的发布符合拉撒路集团长期为经济利益进行网络攻击的努力。这给加密世界造成了巨大损失，尤其是基于美国的实体。
“Mach-O Man”恶意软件使用多个阶段，每个阶段都包含Go编译的Mach-O二进制文件。恶意软件包含一个分析器模块，用于收集系统信息，包括主机名、UUID、CPU信息、网络配置和正在运行的进程。
朝鲜“拉撒路”集团以‘Mach-O Man’macOS恶意软件套件瞄准加密货币和高价值高管
持久模块minst2.bin会投放一个LaunchAgent plist文件（com.onedrive.launcher.plist），确保恶意软件每次用户登录时启动，伪装成名为“OneDrive”或“Antivirus Service”的合法进程。
Macrasv2是负责从系统窃取数据的最后一个有效载荷，它收集SQLite数据库中发现的浏览器登录详细信息和Cookie以及敏感的Keychain条目。所有收集的数据随后被压缩并通过Telegram bot API发送，其令牌已在表面暴露。
拉撒路集团在加密和美国科技领域的毁灭性遗产
该组织已被确认参与了加密货币历史上的一些最大规模盗窃案，包括从 Ronin Network（Axie Infinity）盗窃的 6.25 亿美元、从 Bybit 盗窃的 15 亿美元、从 DMM Bitcoin 盗窃的 3.08 亿美元、从 KelpDAO 盗窃的 2.92 亿美元、从 Drift 盗窃的 2.85 亿美元，以及从 WazirX 盗窃的 2.35 亿美元。
它支持Chrome、Firefox、Safari、Brave、Opera和Vivaldi浏览器的扩展。信息通过端口8888和9999上的简单curl POST请求传输到命令与控制服务器。
在完成虚假安装过程后，窃取器开始系统指纹识别、持久化配置和有效载荷安装。
与涉及复杂漏洞利用的其他技术不同，该技术并不复杂。这使得它在有价值的目标上非常有效，这些目标可能在复制命令时同时管理多个呼叫而未进行验证。
“Mach-O Man”的发布符合拉撒路集团长期为经济利益进行网络攻击的努力。这给加密世界造成了巨大损失，尤其是基于美国的实体。
“Mach-O Man”恶意软件使用多个阶段，每个阶段都包含Go编译的Mach-O二进制文件。恶意软件包含一个分析器模块，用于收集系统信息，包括主机名、UUID、CPU信息、网络配置和正在运行的进程。
朝鲜“拉撒路”集团以‘Mach-O Man’macOS恶意软件套件瞄准加密货币和高价值高管
持久模块minst2.bin会投放一个LaunchAgent plist文件（com.onedrive.launcher.plist），确保恶意软件每次用户登录时启动，伪装成名为“OneDrive”或“Antivirus Service”的合法进程。
Macrasv2是负责从系统窃取数据的最后一个有效载荷，它收集SQLite数据库中发现的浏览器登录详细信息和Cookie以及敏感的Keychain条目。所有收集的数据随后被压缩并通过Telegram bot API发送，其令牌已在表面暴露。
拉撒路集团在加密和美国科技领域的毁灭性遗产
该组织已被确认参与了加密货币历史上的一些最大规模盗窃案，包括从 Ronin Network（Axie Infinity）盗窃的 6.25 亿美元、从 Bybit 盗窃的 15 亿美元、从 DMM Bitcoin 盗窃的 3.08 亿美元、从 KelpDAO 盗窃的 2.92 亿美元、从 Drift 盗窃的 2.85 亿美元，以及从 WazirX 盗窃的 2.35 亿美元。
它支持Chrome、Firefox、Safari、Brave、Opera和Vivaldi浏览器的扩展。信息通过端口8888和9999上的简单curl POST请求传输到命令与控制服务器。
在完成虚假安装过程后，窃取器开始系统指纹识别、持久化配置和有效载荷安装。
与涉及复杂漏洞利用的其他技术不同，该技术并不复杂。这使得它在有价值的目标上非常有效，这些目标可能在复制命令时同时管理多个呼叫而未进行验证。
“Mach-O Man”的发布符合拉撒路集团长期为经济利益进行网络攻击的努力。这给加密世界造成了巨大损失，尤其是基于美国的实体。
“Mach-O Man”恶意软件使用多个阶段，每个阶段都包含Go编译的Mach-O二进制文件。恶意软件包含一个分析器模块，用于收集系统信息，包括主机名、UUID、CPU信息、网络配置和正在运行的进程。
朝鲜“拉撒路”集团以‘Mach-O Man’macOS恶意软件套件瞄准加密货币和高价值高管
持久模块minst2.bin会投放一个LaunchAgent plist文件（com.onedrive.launcher.plist），确保恶意软件每次用户登录时启动，伪装成名为“OneDrive”或“Antivirus Service”的合法进程。
Macrasv2是负责从系统窃取数据的最后一个有效载荷，它收集SQLite数据库中发现的浏览器登录详细信息和Cookie以及敏感的Keychain条目。所有收集的数据随后被压缩并通过Telegram bot API发送，其令牌已在表面暴露。
拉撒路集团在加密和美国科技领域的毁灭性遗产
该组织已被确认参与了加密货币历史上的一些最大规模盗窃案，包括从 Ronin Network（Axie Infinity）盗窃的 6.25 亿美元、从 Bybit 盗窃的 15 亿美元、从 DMM Bitcoin 盗窃的 3.08 亿美元、从 KelpDAO 盗窃的 2.92 亿美元、从 Drift 盗窃的 2.85 亿美元，以及从 WazirX 盗窃的 2.35 亿美元。
它支持Chrome、Firefox、Safari、Brave、Opera和Vivaldi浏览器的扩展。信息通过端口8888和9999上的简单curl POST请求传输到命令与控制服务器。
在完成虚假安装过程后，窃取器开始系统指纹识别、持久化配置和有效载荷安装。
与涉及复杂漏洞利用的其他技术不同，该技术并不复杂。这使得它在有价值的目标上非常有效，这些目标可能在复制命令时同时管理多个呼叫而未进行验证。
“Mach-O Man”的发布符合拉撒路集团长期为经济利益进行网络攻击的努力。这给加密世界造成了巨大损失，尤其是基于美国的实体。
“Mach-O Man”恶意软件使用多个阶段，每个阶段都包含Go编译的Mach-O二进制文件。恶意软件包含一个分析器模块，用于收集系统信息，包括主机名、UUID、CPU信息、网络配置和正在运行的进程。
朝鲜“拉撒路”集团以‘Mach-O Man’macOS恶意软件套件瞄准加密货币和高价值高管
持久模块minst2.bin会投放一个LaunchAgent plist文件（com.onedrive.launcher.plist），确保恶意软件每次用户登录时启动，伪装成名为“OneDrive”或“Antivirus Service”的合法进程。
Macrasv2是负责从系统窃取数据的最后一个有效载荷，它收集SQLite数据库中发现的浏览器登录详细信息和Cookie以及敏感的Keychain条目。所有收集的数据随后被压缩并通过Telegram bot API发送，其令牌已在表面暴露。
拉撒路集团在加密和美国科技领域的毁灭性遗产
该组织已被确认参与了加密货币历史上的一些最大规模盗窃案，包括从 Ronin Network（Axie Infinity）盗窃的 6.25 亿美元、从 Bybit 盗窃的 15 亿美元、从 DMM Bitcoin 盗窃的 3.08 亿美元、从 KelpDAO 盗窃的 2.92 亿美元、从 Drift 盗窃的 2.85 亿美元，以及从 WazirX 盗窃的 2.35 亿美元。
Mach-O man恶意软件在虚假应用程序上的安装。来源：AnyRun
该组织被认定参与了加密历史上的一些最大盗窃案，包括Ronin Network（Axie Infinity）的6.25亿美元盗窃案、Bybit的15亿美元盗窃案、DMM Bitcoin的3.08亿美元盗窃案、KelpDAO的2.92亿美元盗窃案、Drift的2.85亿美元盗窃案以及WazirX的2.35亿美元盗窃案。
点击链接会导向一个看似真实的网页，该网页模拟在尝试连接Zoom、Teams或Meet时出现的错误消息。网站随后要求受害者复制并粘贴一行看似无害的代码到Mac的终端中，以“解决”问题。
执行后，代码会安装一个名为teamsSDK.bin的二进制文件。
它支持Chrome、Firefox、Safari、Brave、Opera和Vivaldi浏览器的扩展。信息通过端口8888和9999上的简单curl POST请求传输到命令与控制服务器。
在完成虚假安装过程后，窃取器开始系统指纹识别、持久化配置和有效载荷安装。
与涉及复杂漏洞利用的其他技术不同，该技术并不复杂。这使得它在有价值的目标上非常有效，这些目标可能在复制命令时同时管理多个呼叫而未进行验证。
“Mach-O Man”的发布符合拉撒路集团长期为经济利益进行网络攻击的努力。这给加密世界造成了巨大损失，尤其是基于美国的实体。
“Mach-O Man”恶意软件使用多个阶段，每个阶段都包含Go编译的Mach-O二进制文件。恶意软件包含一个分析器模块，用于收集系统信息，包括主机名、UUID、CPU信息、网络配置和正在运行的进程。
朝鲜“拉撒路”集团以‘Mach-O Man’macOS恶意软件套件瞄准加密货币和高价值高管
持久模块minst2.bin会投放一个LaunchAgent plist文件（com.onedrive.launcher.plist），确保恶意软件每次用户登录时启动，伪装成名为“OneDrive”或“Antivirus Service”的合法进程。
Macrasv2是负责从系统窃取数据的最后一个有效载荷，它收集SQLite数据库中发现的浏览器登录详细信息和Cookie以及敏感的Keychain条目。所有收集的数据随后被压缩并通过Telegram bot API发送，其令牌已在表面暴露。
拉撒路集团在加密和美国科技领域的毁灭性遗产
该组织已被确认参与了加密货币历史上的一些最大规模盗窃案，包括从 Ronin Network（Axie Infinity）盗窃的 6.25 亿美元、从 Bybit 盗窃的 15 亿美元、从 DMM Bitcoin 盗窃的 3.08 亿美元、从 KelpDAO 盗窃的 2.92 亿美元、从 Drift 盗窃的 2.85 亿美元，以及从 WazirX 盗窃的 2.35 亿美元。
Mach-O man恶意软件在虚假应用程序上的安装。来源：AnyRun
该组织被认定参与了加密历史上的一些最大盗窃案，包括Ronin Network（Axie Infinity）的6.25亿美元盗窃案、Bybit的15亿美元盗窃案、DMM Bitcoin的3.08亿美元盗窃案、KelpDAO的2.92亿美元盗窃案、Drift的2.85亿美元盗窃案以及WazirX的2.35亿美元盗窃案。
点击链接会导向一个看似真实的网页，该网页模拟在尝试连接Zoom、Teams或Meet时出现的错误消息。网站随后要求受害者复制并粘贴一行看似无害的代码到Mac的终端中，以“解决”问题。
执行后，代码会安装一个名为teamsSDK.bin的二进制文件。
它支持Chrome、Firefox、Safari、Brave、Opera和Vivaldi浏览器的扩展。信息通过端口8888和9999上的简单curl POST请求传输到命令与控制服务器。
在完成虚假安装过程后，窃取器开始系统指纹识别、持久化配置和有效载荷安装。
与涉及复杂漏洞利用的其他技术不同，该技术并不复杂。这使得它在有价值的目标上非常有效，这些目标可能在复制命令时同时管理多个呼叫而未进行验证。
“Mach-O Man”的发布符合拉撒路集团长期为经济利益进行网络攻击的努力。这给加密世界造成了巨大损失，尤其是基于美国的实体。
“Mach-O Man”恶意软件使用多个阶段，每个阶段都包含Go编译的Mach-O二进制文件。恶意软件包含一个分析器模块，用于收集系统信息，包括主机名、UUID、CPU信息、网络配置和正在运行的进程。
朝鲜“拉撒路”集团以‘Mach-O Man’macOS恶意软件套件瞄准加密货币和高价值高管
持久模块minst2.bin会投放一个LaunchAgent plist文件（com.onedrive.launcher.plist），确保恶意软件每次用户登录时启动，伪装成名为“OneDrive”或“Antivirus Service”的合法进程。
Macrasv2是负责从系统窃取数据的最后一个有效载荷，它收集SQLite数据库中发现的浏览器登录详细信息和Cookie以及敏感的Keychain条目。所有收集的数据随后被压缩并通过Telegram bot API发送，其令牌已在表面暴露。
拉撒路集团在加密和美国科技领域的毁灭性遗产
该组织已被确认参与了加密货币历史上的一些最大规模盗窃案，包括从 Ronin Network（Axie Infinity）盗窃的 6.25 亿美元、从 Bybit 盗窃的 15 亿美元、从 DMM Bitcoin 盗窃的 3.08 亿美元、从 KelpDAO 盗窃的 2.92 亿美元、从 Drift 盗窃的 2.85 亿美元，以及从 WazirX 盗窃的 2.35 亿美元。
Stager下载虚假的macOS应用程序包，并使用原生codesign工具使用ad hoc签名对其进行数字签名。然后，它反复要求受害者输入密码，显示翻译拙劣但看似真实的消息。
朝鲜黑客瞄准Mac用户
在此过程中，受害者可以绕过macOS的安全机制，如Gatekeeper，因为攻击源自受害者自身。
Mach-O man恶意软件在虚假应用程序上的安装。来源：AnyRun
该组织被认定参与了加密历史上的一些最大盗窃案，包括Ronin Network（Axie Infinity）的6.25亿美元盗窃案、Bybit的15亿美元盗窃案、DMM Bitcoin的3.08亿美元盗窃案、KelpDAO的2.92亿美元盗窃案、Drift的2.85亿美元盗窃案以及WazirX的2.35亿美元盗窃案。
点击链接会导向一个看似真实的网页，该网页模拟在尝试连接Zoom、Teams或Meet时出现的错误消息。网站随后要求受害者复制并粘贴一行看似无害的代码到Mac的终端中，以“解决”问题。
执行后，代码会安装一个名为teamsSDK.bin的二进制文件。
它支持Chrome、Firefox、Safari、Brave、Opera和Vivaldi浏览器的扩展。信息通过端口8888和9999上的简单curl POST请求传输到命令与控制服务器。
在完成虚假安装过程后，窃取器开始系统指纹识别、持久化配置和有效载荷安装。
与涉及复杂漏洞利用的其他技术不同，该技术并不复杂。这使得它在有价值的目标上非常有效，这些目标可能在复制命令时同时管理多个呼叫而未进行验证。
“Mach-O Man”的发布符合拉撒路集团长期为经济利益进行网络攻击的努力。这给加密世界造成了巨大损失，尤其是基于美国的实体。
“Mach-O Man”恶意软件使用多个阶段，每个阶段都包含Go编译的Mach-O二进制文件。恶意软件包含一个分析器模块，用于收集系统信息，包括主机名、UUID、CPU信息、网络配置和正在运行的进程。
朝鲜“拉撒路”集团以‘Mach-O Man’macOS恶意软件套件瞄准加密货币和高价值高管
持久模块minst2.bin会投放一个LaunchAgent plist文件（com.onedrive.launcher.plist），确保恶意软件每次用户登录时启动，伪装成名为“OneDrive”或“Antivirus Service”的合法进程。
Macrasv2是负责从系统窃取数据的最后一个有效载荷，它收集SQLite数据库中发现的浏览器登录详细信息和Cookie以及敏感的Keychain条目。所有收集的数据随后被压缩并通过Telegram bot API发送，其令牌已在表面暴露。
拉撒路集团在加密和美国科技领域的毁灭性遗产
该组织已被确认参与了加密货币历史上的一些最大规模盗窃案，包括从 Ronin Network（Axie Infinity）盗窃的 6.25 亿美元、从 Bybit 盗窃的 15 亿美元、从 DMM Bitcoin 盗窃的 3.08 亿美元、从 KelpDAO 盗窃的 2.92 亿美元、从 Drift 盗窃的 2.85 亿美元，以及从 WazirX 盗窃的 2.35 亿美元。
Stager下载虚假的macOS应用程序包，并使用原生codesign工具使用ad hoc签名对其进行数字签名。然后，它反复要求受害者输入密码，显示翻译拙劣但看似真实的消息。
朝鲜黑客瞄准Mac用户
在此过程中，受害者可以绕过macOS的安全机制，如Gatekeeper，因为攻击源自受害者自身。
Mach-O man恶意软件在虚假应用程序上的安装。来源：AnyRun
该组织被认定参与了加密历史上的一些最大盗窃案，包括Ronin Network（Axie Infinity）的6.25亿美元盗窃案、Bybit的15亿美元盗窃案、DMM Bitcoin的3.08亿美元盗窃案、KelpDAO的2.92亿美元盗窃案、Drift的2.85亿美元盗窃案以及WazirX的2.35亿美元盗窃案。
点击链接会导向一个看似真实的网页，该网页模拟在尝试连接Zoom、Teams或Meet时出现的错误消息。网站随后要求受害者复制并粘贴一行看似无害的代码到Mac的终端中，以“解决”问题。
执行后，代码会安装一个名为teamsSDK.bin的二进制文件。
它支持Chrome、Firefox、Safari、Brave、Opera和Vivaldi浏览器的扩展。信息通过端口8888和9999上的简单curl POST请求传输到命令与控制服务器。
在完成虚假安装过程后，窃取器开始系统指纹识别、持久化配置和有效载荷安装。
与涉及复杂漏洞利用的其他技术不同，该技术并不复杂。这使得它在有价值的目标上非常有效，这些目标可能在复制命令时同时管理多个呼叫而未进行验证。
“Mach-O Man”的发布符合拉撒路集团长期为经济利益进行网络攻击的努力。这给加密世界造成了巨大损失，尤其是基于美国的实体。
“Mach-O Man”恶意软件使用多个阶段，每个阶段都包含Go编译的Mach-O二进制文件。恶意软件包含一个分析器模块，用于收集系统信息，包括主机名、UUID、CPU信息、网络配置和正在运行的进程。
朝鲜“拉撒路”集团以‘Mach-O Man’macOS恶意软件套件瞄准加密货币和高价值高管
持久模块minst2.bin会投放一个LaunchAgent plist文件（com.onedrive.launcher.plist），确保恶意软件每次用户登录时启动，伪装成名为“OneDrive”或“Antivirus Service”的合法进程。
Macrasv2是负责从系统窃取数据的最后一个有效载荷，它收集SQLite数据库中发现的浏览器登录详细信息和Cookie以及敏感的Keychain条目。所有收集的数据随后被压缩并通过Telegram bot API发送，其令牌已在表面暴露。
拉撒路集团在加密和美国科技领域的毁灭性遗产
该组织已被确认参与了加密货币历史上的一些最大规模盗窃案，包括从 Ronin Network（Axie Infinity）盗窃的 6.25 亿美元、从 Bybit 盗窃的 15 亿美元、从 DMM Bitcoin 盗窃的 3.08 亿美元、从 KelpDAO 盗窃的 2.92 亿美元、从 Drift 盗窃的 2.85 亿美元，以及从 WazirX 盗窃的 2.35 亿美元。
据报道，此次攻击利用了员工对常规通信工具（如Zoom、Microsoft Teams和Google Meet）的信任。这使得日常协作成为系统级攻击的途径。
朝鲜拉撒路集团推出了针对macOS设备的先进恶意软件。被称为“Mach-O Man”的恶意软件旨在对抗加密货币公司、金融科技组织和使用Mac进行金融交易的关键高管。
Stager下载虚假的macOS应用程序包，并使用原生codesign工具使用ad hoc签名对其进行数字签名。然后，它反复要求受害者输入密码，显示翻译拙劣但看似真实的消息。
朝鲜黑客瞄准Mac用户
在此过程中，受害者可以绕过macOS的安全机制，如Gatekeeper，因为攻击源自受害者自身。
Mach-O man恶意软件在虚假应用程序上的安装。来源：AnyRun
该组织被认定参与了加密历史上的一些最大盗窃案，包括Ronin Network（Axie Infinity）的6.25亿美元盗窃案、Bybit的15亿美元盗窃案、DMM Bitcoin的3.08亿美元盗窃案、KelpDAO的2.92亿美元盗窃案、Drift的2.85亿美元盗窃案以及WazirX的2.35亿美元盗窃案。
点击链接会导向一个看似真实的网页，该网页模拟在尝试连接Zoom、Teams或Meet时出现的错误消息。网站随后要求受害者复制并粘贴一行看似无害的代码到Mac的终端中，以“解决”问题。
执行后，代码会安装一个名为teamsSDK.bin的二进制文件。
它支持Chrome、Firefox、Safari、Brave、Opera和Vivaldi浏览器的扩展。信息通过端口8888和9999上的简单curl POST请求传输到命令与控制服务器。
在完成虚假安装过程后，窃取器开始系统指纹识别、持久化配置和有效载荷安装。
与涉及复杂漏洞利用的其他技术不同，该技术并不复杂。这使得它在有价值的目标上非常有效，这些目标可能在复制命令时同时管理多个呼叫而未进行验证。
“Mach-O Man”的发布符合拉撒路集团长期为经济利益进行网络攻击的努力。这给加密世界造成了巨大损失，尤其是基于美国的实体。
“Mach-O Man”恶意软件使用多个阶段，每个阶段都包含Go编译的Mach-O二进制文件。恶意软件包含一个分析器模块，用于收集系统信息，包括主机名、UUID、CPU信息、网络配置和正在运行的进程。
朝鲜“拉撒路”集团以‘Mach-O Man’macOS恶意软件套件瞄准加密货币和高价值高管
持久模块minst2.bin会投放一个LaunchAgent plist文件（com.onedrive.launcher.plist），确保恶意软件每次用户登录时启动，伪装成名为“OneDrive”或“Antivirus Service”的合法进程。
Macrasv2是负责从系统窃取数据的最后一个有效载荷，它收集SQLite数据库中发现的浏览器登录详细信息和Cookie以及敏感的Keychain条目。所有收集的数据随后被压缩并通过Telegram bot API发送，其令牌已在表面暴露。
拉撒路集团在加密和美国科技领域的毁灭性遗产
该组织已被确认参与了加密货币历史上的一些最大规模盗窃案，包括从 Ronin Network（Axie Infinity）盗窃的 6.25 亿美元、从 Bybit 盗窃的 15 亿美元、从 DMM Bitcoin 盗窃的 3.08 亿美元、从 KelpDAO 盗窃的 2.92 亿美元、从 Drift 盗窃的 2.85 亿美元，以及从 WazirX 盗窃的 2.35 亿美元。
据报道，此次攻击利用了员工对常规通信工具（如Zoom、Microsoft Teams和Google Meet）的信任。这使得日常协作成为系统级攻击的途径。
朝鲜拉撒路集团推出了针对macOS设备的先进恶意软件。被称为“Mach-O Man”的恶意软件旨在对抗加密货币公司、金融科技组织和使用Mac进行金融交易的关键高管。
Stager下载虚假的macOS应用程序包，并使用原生codesign工具使用ad hoc签名对其进行数字签名。然后，它反复要求受害者输入密码，显示翻译拙劣但看似真实的消息。
朝鲜黑客瞄准Mac用户
在此过程中，受害者可以绕过macOS的安全机制，如Gatekeeper，因为攻击源自受害者自身。
Mach-O man恶意软件在虚假应用程序上的安装。来源：AnyRun
该组织被认定参与了加密历史上的一些最大盗窃案，包括Ronin Network（Axie Infinity）的6.25亿美元盗窃案、Bybit的15亿美元盗窃案、DMM Bitcoin的3.08亿美元盗窃案、KelpDAO的2.92亿美元盗窃案、Drift的2.85亿美元盗窃案以及WazirX的2.35亿美元盗窃案。
点击链接会导向一个看似真实的网页，该网页模拟在尝试连接Zoom、Teams或Meet时出现的错误消息。网站随后要求受害者复制并粘贴一行看似无害的代码到Mac的终端中，以“解决”问题。
执行后，代码会安装一个名为teamsSDK.bin的二进制文件。
它支持Chrome、Firefox、Safari、Brave、Opera和Vivaldi浏览器的扩展。信息通过端口8888和9999上的简单curl POST请求传输到命令与控制服务器。
在完成虚假安装过程后，窃取器开始系统指纹识别、持久化配置和有效载荷安装。
与涉及复杂漏洞利用的其他技术不同，该技术并不复杂。这使得它在有价值的目标上非常有效，这些目标可能在复制命令时同时管理多个呼叫而未进行验证。
“Mach-O Man”的发布符合拉撒路集团长期为经济利益进行网络攻击的努力。这给加密世界造成了巨大损失，尤其是基于美国的实体。
“Mach-O Man”恶意软件使用多个阶段，每个阶段都包含Go编译的Mach-O二进制文件。恶意软件包含一个分析器模块，用于收集系统信息，包括主机名、UUID、CPU信息、网络配置和正在运行的进程。
朝鲜“拉撒路”集团以‘Mach-O Man’macOS恶意软件套件瞄准加密货币和高价值高管
持久模块minst2.bin会投放一个LaunchAgent plist文件（com.onedrive.launcher.plist），确保恶意软件每次用户登录时启动，伪装成名为“OneDrive”或“Antivirus Service”的合法进程。
Macrasv2是负责从系统窃取数据的最后一个有效载荷，它收集SQLite数据库中发现的浏览器登录详细信息和Cookie以及敏感的Keychain条目。所有收集的数据随后被压缩并通过Telegram bot API发送，其令牌已在表面暴露。
拉撒路集团在加密和美国科技领域的毁灭性遗产
该组织已被确认参与了加密货币历史上的一些最大规模盗窃案，包括从 Ronin Network（Axie Infinity）盗窃的 6.25 亿美元、从 Bybit 盗窃的 15 亿美元、从 DMM Bitcoin 盗窃的 3.08 亿美元、从 KelpDAO 盗窃的 2.92 亿美元、从 Drift 盗窃的 2.85 亿美元，以及从 WazirX 盗窃的 2.35 亿美元。
如果您正在阅读这篇文章，说明您已经领先一步。请继续通过我们的通讯保持关注。
免责声明。 本文提供的信息不构成交易建议。 Cryptopolitan.com 对于基于本页信息进行的任何投资，我们不承担任何责任。我们强烈建议在进行任何投资决策之前，进行独立研究或咨询合格的专业人士。
Florence Muchai
Florence 过去 6 年一直报道加密货币、游戏、科技和人工智能新闻。她在梅鲁科技大学修读计算机研究，并在马林加莫伊科学与技术大学学习灾害管理与国际外交，这些经历充分赋予她语言、观察和技术技能。Florence 曾在 VAP Group 工作，并担任多家加密货币媒体的编辑。
