El 22 de abril, el CISO de empresa SlowMist 23pds publicó un aviso, señalando que el grupo de hackers norcoreano Lazarus Group ha lanzado un nuevo kit de herramientas de malware nativo para macOS, “Mach-O Man”, diseñado específicamente para la industria de las criptomonedas y ejecutivos de alto valor.
Técnicas de ataque y objetivos
Según el informe de análisis de Mauro Eldritch, este ataque utiliza la técnica ClickFix: los atacantes envían, mediante Telegram (usando cuentas de contactos comprometidas), enlaces disfrazados como invitaciones legítimas a reuniones, para dirigir a las víctimas a sitios web falsos que imitan Zoom, Microsoft Teams o Google Meet, y piden a los usuarios que ejecuten comandos en el terminal de macOS para “reparar” problemas de conexión. Esta operación permite a los atacantes obtener acceso al sistema sin activar las medidas de seguridad tradicionales.
Los objetivos del ataque incluyen: credenciales y cookies almacenadas en el navegador, datos del llavero (Keychain) de macOS, y datos de extensiones de navegadores como Brave, Vivaldi, Opera, Chrome, Firefox y Safari. Los datos robados se filtran a través de la Telegram Bot API; el informe indica que los atacantes expusieron tokens de bots de Telegram (fallo de OPSEC), debilitando su seguridad operativa.
Los objetivos del ataque son principalmente desarrolladores, ejecutivos y responsables de la toma de decisiones en entornos de alto valor del sector de tecnología financiera y criptomonedas, así como en entornos empresariales donde macOS se usa ampliamente.
Componentes principales del kit Mach-O Man
Según el análisis técnico de Mauro Eldritch, el kit se compone de los siguientes módulos principales:
teamsSDK.bin: implantador inicial, disfrazado como Teams, Zoom, Google o aplicaciones del sistema; ejecuta el reconocimiento básico de la huella del sistema
D1{cadena de texto aleatoria}.bin: analizador del sistema, recopila el nombre del host, el tipo de CPU, la información del sistema operativo y la lista de extensiones del navegador, y la envía al servidor C2
minst2.bin: módulo de persistencia, crea el directorio y LaunchAgent del disfraz “Antivirus Service” para asegurar que se ejecute continuamente después de cada inicio de sesión
macrasv2: cargador final/robo, recopila credenciales del navegador, cookies y entradas del Keychain de macOS, las empaqueta, las filtra mediante Telegram y se autoelimina
Resumen de indicadores clave de intrusión (IOC)
Según los IOC publicados en el informe de Mauro Eldritch:
IP maliciosa: 172[.]86[.]113[.]102 / 144[.]172[.]114[.]220
Dominio malicioso: update-teams[.]live / livemicrosft[.]com
Archivos clave (parcial): teamsSDK.bin, macrasv2, minst2.bin, localencode, D1YrHRTg.bin, D1yCPUyk.bin
Puertos de comunicación C2: 8888 y 9999; principalmente se usan cadenas de características de User-Agent de un cliente HTTP Go
El hash completo y la matriz ATT&CK se encuentran en el informe de investigación original de Mauro Eldritch.
Preguntas frecuentes
¿Qué industrias y objetivos ataca el kit “Mach-O Man”?
Según el aviso de SlowMist 23pds y la investigación de BCA LTD, “Mach-O Man” se enfoca principalmente en la industria de tecnología financiera y las criptomonedas, así como en entornos empresariales de alto valor donde macOS se usa ampliamente; en particular, el grupo de desarrolladores, ejecutivos y responsables de la toma de decisiones.
¿Cómo induce el atacante a los usuarios de macOS a ejecutar comandos maliciosos?
Según el análisis de Mauro Eldritch, los atacantes envían por Telegram enlaces disfrazados como invitaciones legítimas a reuniones, dirigiendo a los usuarios a sitios web falsos que imitan Zoom, Teams o Google Meet; luego les indican que ejecuten comandos en el terminal de macOS para “reparar” problemas de conexión, lo que activa la instalación de malware.
¿Cómo logra “Mach-O Man” la exfiltración de datos?
Según el análisis técnico de Mauro Eldritch, el módulo final macrasv2 recopila credenciales del navegador, cookies y datos del Keychain de macOS, los empaqueta y los filtra a través de la Telegram Bot API; al mismo tiempo, el atacante utiliza scripts de autoeliminación para borrar rastros del sistema.
Aviso legal: La información de esta página puede proceder de terceros y no representa los puntos de vista ni las opiniones de Gate. El contenido que aparece en esta página es solo para fines informativos y no constituye ningún tipo de asesoramiento financiero, de inversión o legal. Gate no garantiza la exactitud ni la integridad de la información y no se hace responsable de ninguna pérdida derivada del uso de esta información. Las inversiones en activos virtuales conllevan riesgos elevados y están sujetas a una volatilidad significativa de los precios. Podrías perder todo el capital invertido. Asegúrate de entender completamente los riesgos asociados y toma decisiones prudentes de acuerdo con tu situación financiera y tu tolerancia al riesgo. Para obtener más información, consulta el
Aviso legal.
Artículos relacionados
El protocolo de privacidad Umbra cierra el frontend para impedir que los atacantes blanqueen fondos robados de Kelp
Mensaje de Gate News, 22 de abril — El protocolo de privacidad Umbra ha cerrado su sitio web frontend para evitar que los atacantes usen el protocolo para transferir fondos robados tras ataques recientes, incluido el incidente de seguridad del protocolo Kelp que provocó pérdidas de más de $280 millones. Aproximadamente $800,000 en fondos robados fueron transferidos por "
GateNewshace1h
Justin Sun demanda a World Liberty Financial por tokens WLFI congelados y derechos de gobernanza
Mensaje de Gate News, 22 de abril — Justin Sun ha presentado una demanda en un tribunal federal de California contra World Liberty Financial (WLF), un proyecto DeFi respaldado por Eric Trump y Donald Trump Jr., alegando que el equipo congeló todas sus tenencias de WLFI, le eliminó sus derechos de voto y amenazó con quemar permanentemente
GateNewshace4h
El atacante de Venus Protocol mueve 2301 ETH, entra en Tornado Cash para blanquear
Según el seguimiento del analista on-chain Ai Ayi el 22 de abril, el atacante de Venus Protocol transfirió 2.301 ETH (aprox. 5,32 millones de dólares) desde hace 11 horas a la dirección 0xa21…23A7f; posteriormente, envió los fondos en lotes a un mezclador cripto Tornado Cash para blanquearlos. Al momento del seguimiento, el atacante aún mantenía en cadena aproximadamente 17,45 millones de dólares en ETH.
MarketWhisperhace4h
Exposición de una vulnerabilidad día cero en CometBFT: los nodos de la red Cosmos de 8.000 millones de dólares enfrentan el riesgo de un bloqueo total
El investigador de seguridad Doyeon Park reveló el 21 de abril que en la capa de consenso de Cosmos, CometBFT, existe una vulnerabilidad crítica de día cero con gravedad alta de nivel CVSS 7.1, que podría permitir que un nodo sea atacado por pares maliciosos durante la fase de sincronización de bloques (BlockSync) y quede en punto muerto, afectando a una red que custodia más de 8.000 millones de dólares en activos.
MarketWhisperhace4h
El grupo norcoreano Lazarus lanza un nuevo malware para macOS Mach-O Man dirigido a cripto
Resumen: Lazarus Group lanzó un kit de malware nativo para macOS llamado Mach-O Man, dirigido a plataformas de criptomonedas y a ejecutivos de alto valor; SlowMist advierte a los usuarios que tengan cuidado contra los ataques.
Resumen: El artículo informa que Lazarus Group ha presentado Mach-O Man, un kit de malware nativo para macOS dirigido a plataformas de criptomonedas y a ejecutivos de alto valor. SlowMist advierte a los usuarios que tengan cuidado para mitigar posibles ataques.
GateNewshace5h
El Estrecho de Ormuz presenta una estafa de peajes en Bitcoin: un barco paga y aun así es atacado con artillería
Según CoinDesk, el 22 de abril, la empresa de servicios de riesgos marítimos Marisks emitió una advertencia: los estafadores haciéndose pasar por autoridades iraníes enviaron mensajes a varias compañías navieras para solicitar Bitcoin o USDT como “peaje” por el paso por el Estrecho de Ormuz. Marisks confirmó que los mensajes relacionados no proceden de canales oficiales de Irán y, según informó Reuters, indicó que cree que al menos un barco cayó en la trampa, y que durante el fin de semana, al intentar pasar, aún fue alcanzado por disparos.
MarketWhisperhace5h
