Северокорейская группа Лазарус развернула вредонос Mach-O Man для кражи учетных данных криптовалютных кошельков у пользователей macOS

Сообщение Gate News, 22 апреля — связанная с Северной Кореей группа киберпреступников Lazarus начала атаки на криптовалютные кошельки с использованием недавно обнаруженного вредоносного ПО под названием Mach-O Man, говорится в отчете об анализе вредоносных программ, опубликованном 21 апреля компанией ANY.RUN. Зловредный код предназначен для кражи данных связки ключей, учетных данных браузера и сеансов входа с систем macOS, чтобы получить несанкционированный доступ к кошелькам цифровых активов и аккаунтам бирж.

В отличие от предыдущих кампаний Lazarus, эта атака специально нацелена на пользователей Apple macOS. Вредоносное ПО собирает сеансы входа и учетные данные аутентификации с устройства Mac жертвы, после чего они используются для компрометации доступа к кошельку и учетных данных аккаунта биржи. Основные цели включают сотрудников компаний цифровых активов, разработчиков и руководителей. ANY.RUN предупреждала, что компрометация одной учетной записи может раскрыть как права на доступ к кошельку, так и внутренние корпоративные системы, потенциально приводя к масштабной краже активов.

Вредоносное ПО распространяется через ClickFix — метод социальной инженерии, который использует фальшивые сообщения об ошибках и всплывающие окна, чтобы заставить пользователей копировать и выполнять вредоносные команды. Атаки в основном проводятся через Telegram с использованием скомпрометированных персональных аккаунтов: жертв направляют на поддельные ссылки на встречи, похожие на Zoom, Microsoft Teams или Google Meet. Затем пользователям предлагают выполнить команды под видом устранения проблем с подключением. Такой метод выполнения, инициируемого пользователем, легко обходит традиционные системы безопасности.

Раскрытие информации последовало после взлома Kelp DAO 20 апреля, в результате которого было похищено 116 500 rsETH (restaked Ethereum). LayerZero определила TraderTraitor, организацию, связанную с Лазарусом, как ответственного за атаку. rsETH распределяется по нескольким блокчейнам, а кроссчейн-переводы обрабатываются стандартом omnichain fungible token от LayerZero (OFT).