O Chief Information Security Officer (CISO) da empresa MÃog Wu (23pds) publicou um alerta em 22 de abril, afirmando que o grupo de hackers norte-coreano Lazarus Group lançou um novo kit de ferramentas de malware nativo para macOS chamado “Mach-O Man”, projetado especificamente para a indústria de criptomoedas e para executivos de alto valor.
Técnicas de ataque e alvos
De acordo com o relatório de análise de Mauro Eldritch, este ataque utiliza a técnica ClickFix: os atacantes enviam links disfarçados de convites legítimos para reuniões via Telegram (usando contas de contatos comprometidas), direcionando as vítimas a um site falso que imita Zoom, Microsoft Teams ou Google Meet, e solicitando que o usuário execute comandos no terminal do macOS para “corrigir” problemas de conexão. Essa operação permite que os atacantes obtenham acesso ao sistema sem disparar medidas de segurança tradicionais.
Os dados-alvo incluem: credenciais e cookies armazenados no navegador, dados do macOS Keychain e dados das extensões de navegadores como Brave, Vivaldi, Opera, Chrome, Firefox e Safari. Os dados roubados são exfiltrados por meio do Telegram Bot API; o relatório indica que os atacantes expuseram o token do bot do Telegram (falha de OPSEC), enfraquecendo a segurança operacional de suas ações.
Os alvos do ataque são principalmente desenvolvedores, executivos e tomadores de decisão no setor de fintech e criptomoedas, bem como em ambientes corporativos de alto valor em que o macOS é amplamente utilizado.
Principais componentes do kit “Mach-O Man”
De acordo com a análise técnica de Mauro Eldritch, o kit é composto pelos seguintes módulos principais:
teamsSDK.bin: carregador inicial (inicializador), disfarçado como Teams, Zoom, Google ou aplicativo do sistema, realizando identificação básica de impressão digital do sistema
D1{string aleatória}.bin: analisador do sistema, coleta o nome da máquina, tipo de CPU, informações do sistema operacional e lista de extensões do navegador, e envia essas informações para o servidor C2
minst2.bin: módulo de persistência, cria diretório com disfarce “Antivirus Service” e um LaunchAgent para garantir execução contínua após cada login
macrasv2: coletor final (exfiltrador), coleta credenciais, cookies e entradas do macOS Keychain no navegador; depois empacota, exfiltra via Telegram e se autoelimina
Resumo de indicadores de comprometimento (IOC)
Conforme os IOCs divulgados no relatório de Mauro Eldritch:
IP malicioso: 172[.]86[.]113[.]102 / 144[.]172[.]114[.]220
Domínio malicioso: update-teams[.]live / livemicrosft[.]com
Arquivos-chave (parcial): teamsSDK.bin, macrasv2, minst2.bin, localencode, D1YrHRTg.bin, D1yCPUyk.bin
Portas de comunicação C2: 8888 e 9999; usa principalmente a string de características do User-Agent do cliente HTTP Go
Valores de hash completos e a matriz ATT&CK estão no relatório de pesquisa original de Mauro Eldritch.
Perguntas frequentes
“Mach-O Man” mira quais setores e alvos?
De acordo com o alerta do MÃog Wu 23pds e a pesquisa da BCA LTD, o “Mach-O Man” mira principalmente o setor de fintech e criptomoedas, além de ambientes corporativos de alto valor em que o macOS é amplamente utilizado, especialmente os grupos de desenvolvedores, executivos e tomadores de decisão.
Como os atacantes induzem usuários de macOS a executarem comandos maliciosos?
De acordo com a análise de Mauro Eldritch, os atacantes enviam via Telegram links disfarçados de convites legítimos para reuniões, direcionando o usuário a um site falso que imita Zoom, Teams ou Google Meet. Em seguida, pedem que o usuário execute comandos no terminal do macOS para “corrigir” problemas de conexão, o que aciona a instalação do malware.
Como o “Mach-O Man” realiza a exfiltração de dados?
De acordo com a análise técnica de Mauro Eldritch, o módulo final macrasv2 coleta credenciais do navegador, cookies e dados do macOS Keychain, empacota as informações e as exfiltra via Telegram Bot API; ao mesmo tempo, os atacantes usam um script de autoexclusão para limpar rastros do sistema.
Aviso: As informações nesta página podem ser provenientes de terceiros e não representam as opiniões ou pontos de vista da Gate. O conteúdo exibido nesta página é apenas para referência e não constitui aconselhamento financeiro, de investimento ou jurídico. A Gate não garante a exatidão ou integridade das informações e não será responsável por quaisquer perdas decorrentes do uso dessas informações. Os investimentos em ativos virtuais apresentam altos riscos e estão sujeitos a uma volatilidade de preços significativa. Você pode perder todo o capital investido. Por favor, compreenda completamente os riscos envolvidos e tome decisões prudentes com base em sua própria situação financeira e tolerância ao risco. Para mais detalhes, consulte o
Aviso Legal.
Related Articles
Protocolo de privacidade Umbra desliga frontend para impedir que atacantes façam lavagem de fundos roubados do Kelp
Mensagem do Gate News, 22 de abril — O protocolo de privacidade Umbra desativou seu site de frontend para impedir que atacantes usem o protocolo para transferir fundos roubados após ataques recentes, incluindo a violação do protocolo Kelp que resultou em perdas superiores a $280 milhões. Aproximadamente US$ 800.000 em fundos roubados foram transferidos por "
GateNews1h atrás
Justin Sun processa a World Liberty Financial por tokens WLFI congelados e direitos de governança
Mensagem do Gate News, 22 de abril — Justin Sun entrou com uma ação em um tribunal federal da Califórnia contra a World Liberty Financial (WLF), um projeto DeFi apoiado por Eric Trump e Donald Trump Jr., alegando que a equipe congelou todas as suas participações em WLFI, removeu seus direitos de voto e ameaçou queimar permanentemente suas
GateNews4h atrás
Atacante do Venus Protocol transfere 2301 ETH, entra no Tornado Cash para lavagem
De acordo com a análise on-chain da analista de IA, Ai, de 22 de abril, o atacante do Venus Protocol transferiu 2.301 ETH (cerca de 5,32 milhões de dólares) para o endereço 0xa21…23A7f, há 11 horas; em seguida, transferiu os fundos em lotes para o mixer cripto Tornado Cash para lavagem; até o momento do monitoramento, o atacante ainda mantém cerca de 17,45 milhões de dólares em ETH na cadeia.
MarketWhisper5h atrás
Vazamento de vulnerabilidade zero-day no CometBFT; US$ 8 bilhões em nós da rede Cosmos enfrentam risco de travamento definitivo
Pesquisador de segurança Doyeon Park, em 21 de abril, revelou publicamente uma vulnerabilidade zero-day crítica de alta gravidade com nível CVSS 7.1 na camada de consenso do Cosmos, o CometBFT, que pode permitir que nós sejam atacados por pares maliciosos durante a fase de sincronização de blocos (BlockSync), levando a um bloqueio (deadlock) e afetando uma rede que protege mais de US$ 8 bilhões em ativos.
MarketWhisper5h atrás
Lazarus Group da Coreia do Norte Lança Novo Malware para macOS Mach-O Man com Foco em Cripto
Resumo: O Lazarus Group lançou um kit de malware nativo para macOS chamado Mach-O Man, com foco em plataformas de cripto e executivos de alto valor; o SlowMist alerta os usuários para ter cautela contra ataques.
Resumo: O artigo relata que o Lazarus Group lançou o Mach-O Man, um kit de malware nativo para macOS voltado para plataformas de criptomoedas e executivos de alto valor. O SlowMist alerta os usuários a ter cautela para mitigar possíveis ataques.
GateNews5h atrás
Golfo de Omã registra golpe de pedágio com Bitcoin; após o pagamento, o navio ainda é atacado com artilharia
De acordo com a CoinDesk em 22 de abril, a empresa de serviços de risco marítimo Marisks emitiu um alerta, dizendo que golpistas estão se passando por autoridades iranianas para enviar mensagens a várias empresas de navegação, solicitando Bitcoin ou USDT como “pedágio” para passar pelo Estreito de Ormuz. A Marisks confirmou que as mensagens relevantes não vêm de canais oficiais do Irã e, conforme reportado pela Reuters, afirmou que acredita que pelo menos um navio tenha sido enganado, ao tentar passar durante o fim de semana ainda foi alvo de bombardeio.
MarketWhisper5h atrás
