O Chief Information Security Officer (CISO) da empresa MÃog Wu (23pds) publicou um alerta em 22 de abril, afirmando que o grupo de hackers norte-coreano Lazarus Group lançou um novo kit de ferramentas de malware nativo para macOS chamado “Mach-O Man”, projetado especificamente para a indústria de criptomoedas e para executivos de alto valor.
Técnicas de ataque e alvos
De acordo com o relatório de análise de Mauro Eldritch, este ataque utiliza a técnica ClickFix: os atacantes enviam links disfarçados de convites legítimos para reuniões via Telegram (usando contas de contatos comprometidas), direcionando as vítimas a um site falso que imita Zoom, Microsoft Teams ou Google Meet, e solicitando que o usuário execute comandos no terminal do macOS para “corrigir” problemas de conexão. Essa operação permite que os atacantes obtenham acesso ao sistema sem disparar medidas de segurança tradicionais.
Os dados-alvo incluem: credenciais e cookies armazenados no navegador, dados do macOS Keychain e dados das extensões de navegadores como Brave, Vivaldi, Opera, Chrome, Firefox e Safari. Os dados roubados são exfiltrados por meio do Telegram Bot API; o relatório indica que os atacantes expuseram o token do bot do Telegram (falha de OPSEC), enfraquecendo a segurança operacional de suas ações.
Os alvos do ataque são principalmente desenvolvedores, executivos e tomadores de decisão no setor de fintech e criptomoedas, bem como em ambientes corporativos de alto valor em que o macOS é amplamente utilizado.
Principais componentes do kit “Mach-O Man”
De acordo com a análise técnica de Mauro Eldritch, o kit é composto pelos seguintes módulos principais:
teamsSDK.bin: carregador inicial (inicializador), disfarçado como Teams, Zoom, Google ou aplicativo do sistema, realizando identificação básica de impressão digital do sistema
D1{string aleatória}.bin: analisador do sistema, coleta o nome da máquina, tipo de CPU, informações do sistema operacional e lista de extensões do navegador, e envia essas informações para o servidor C2
minst2.bin: módulo de persistência, cria diretório com disfarce “Antivirus Service” e um LaunchAgent para garantir execução contínua após cada login
macrasv2: coletor final (exfiltrador), coleta credenciais, cookies e entradas do macOS Keychain no navegador; depois empacota, exfiltra via Telegram e se autoelimina
Resumo de indicadores de comprometimento (IOC)
Conforme os IOCs divulgados no relatório de Mauro Eldritch:
IP malicioso: 172[.]86[.]113[.]102 / 144[.]172[.]114[.]220
Domínio malicioso: update-teams[.]live / livemicrosft[.]com
Arquivos-chave (parcial): teamsSDK.bin, macrasv2, minst2.bin, localencode, D1YrHRTg.bin, D1yCPUyk.bin
Portas de comunicação C2: 8888 e 9999; usa principalmente a string de características do User-Agent do cliente HTTP Go
Valores de hash completos e a matriz ATT&CK estão no relatório de pesquisa original de Mauro Eldritch.
Perguntas frequentes
“Mach-O Man” mira quais setores e alvos?
De acordo com o alerta do MÃog Wu 23pds e a pesquisa da BCA LTD, o “Mach-O Man” mira principalmente o setor de fintech e criptomoedas, além de ambientes corporativos de alto valor em que o macOS é amplamente utilizado, especialmente os grupos de desenvolvedores, executivos e tomadores de decisão.
Como os atacantes induzem usuários de macOS a executarem comandos maliciosos?
De acordo com a análise de Mauro Eldritch, os atacantes enviam via Telegram links disfarçados de convites legítimos para reuniões, direcionando o usuário a um site falso que imita Zoom, Teams ou Google Meet. Em seguida, pedem que o usuário execute comandos no terminal do macOS para “corrigir” problemas de conexão, o que aciona a instalação do malware.
Como o “Mach-O Man” realiza a exfiltração de dados?
De acordo com a análise técnica de Mauro Eldritch, o módulo final macrasv2 coleta credenciais do navegador, cookies e dados do macOS Keychain, empacota as informações e as exfiltra via Telegram Bot API; ao mesmo tempo, os atacantes usam um script de autoexclusão para limpar rastros do sistema.
Aviso: As informações nesta página podem ser provenientes de terceiros e não representam as opiniões ou pontos de vista da Gate. O conteúdo exibido nesta página é apenas para referência e não constitui aconselhamento financeiro, de investimento ou jurídico. A Gate não garante a exatidão ou integridade das informações e não será responsável por quaisquer perdas decorrentes do uso dessas informações. Os investimentos em ativos virtuais apresentam altos riscos e estão sujeitos a uma volatilidade de preços significativa. Você pode perder todo o capital investido. Por favor, compreenda completamente os riscos envolvidos e tome decisões prudentes com base em sua própria situação financeira e tolerância ao risco. Para mais detalhes, consulte o
Aviso Legal.
Related Articles
Centenas de carteiras de Ethereum são hackeadas simultaneamente, ativos transferidos
Centenas de carteiras de Ethereum (ETH), incluindo algumas inativas há mais de sete anos, foram comprometidas simultaneamente em um evento de transação incomum na rede Ethereum, segundo o Coin Bureau e a comunidade de criptomoedas. Os ativos das carteiras afetadas foram movidos para o mesmo endereço,
CryptoFrontier48m atrás
A segurança de ativos digitais vai além das chaves à medida que a Bitgo adiciona verificações em 5 camadas
A Bitgo está levando a segurança de ativos digitais além das chaves privadas com um modelo de transações em cinco camadas, projetado para impedir manipulações antes da execução. O sistema verifica intenção, dispositivo, identidade, comportamento e política, visando riscos antes de as transações serem finalizadas.
Principais pontos:
Bitgo apresentou cinco
Coinpedia2h atrás
Plataforma Carrot DeFi encerra as atividades como a primeira vítima de um exploit do protocolo $285M Drift
De acordo com o anúncio da Carrot em 30 de abril, o protocolo de rendimento DeFi baseado em Solana está encerrando permanentemente suas atividades, tornando-se a primeira plataforma a fechar diretamente como resultado do exploit do Drift Protocol no valor de US$ 285 milhões no início de abril. A equipe da Carrot afirmou em uma postagem no X que o hack da Drift foi
GateNews3h atrás
Hackeamentos cripto atingem nível recorde em abril, com 20+ explorações e mais de US$ 600 milhões em perdas
De acordo com a DeFi Llama, o número de invasões de criptomoedas atingiu um recorde em abril, com mais de 20 exploits registrando o mês de maior incidência de hacks na história do setor cripto. As perdas totais superaram US$ 600 milhões, com o exploit de US$ 292 milhões da KelpDAO e o hack de US$ 280 milhões do Drift Protocol ficando como os t
GateNews9h atrás
Espiões da Coreia do Norte miraram a Drift na operação de roubo de $285M
## Operação de Furto da Drift
Espiões apoiados pelo Estado norte-coreano realizaram uma operação presencial visando a plataforma de criptomoedas Drift para drenar US$ 285 milhões, segundo relatos. A operação envolveu meses de envolvimento direto com o alvo.
## Maior Ameaça Cibernética da Coreia do Norte
De acordo com uma
CryptoFrontier11h atrás
Purrlend sofre violação de segurança de US$ 1,52 milhão em 25 de abril em HyperEVM e MegaETH
De acordo com o relatório oficial de incidente da Purrlend, em 25 de abril, o protocolo sofreu uma violação de segurança que resultou em aproximadamente US$ 1,52 milhão em perdas nas implementações da HyperEVM e da MegaETH. Os atacantes invadiram uma carteira multisig 2/3 e concederam a si mesmos privilégios de administrador, incluindo
GateNews11h atrás
