O grupo norte-coreano Lazarus Group atua em campanhas contra fintechs e empresas de criptomoedas, usando um kit de malware in\u00e9dito para macOS. Batizado de Mach-O Man, o conjunto de ferramentas foi identificado em distribui\u00e7\u00e3o ativa e analisado em sandbox. O foco \u00e9 roubar senhas, sess\u00f5es de navegador e dados do Keychain.<\/p>\n
A entrada ocorre via Telegram, com convites de reuni\u00e3o de contatos comprometidos. O usu\u00e1rio acessa um site falso que imita Zoom, Teams ou Meet para indu\u00e7\u00e3o. O atacante utiliza uma t\u00e9cnica chamada ClickFix, que leva o usu\u00e1rio a executarem um comando no terminal.<\/p>\n
O ataque n\u00e3o explora vulnerabilidades t\u00e9cnicas; ele depende da a\u00e7\u00e3o do pr\u00f3prio usu\u00e1rio para entregar o malware. Assim, as defesas monitoram mais a\u00e7\u00f5es autom\u00e1ticas do que comandos manuais no terminal.<\/p>\n
O kit utiliza bin\u00e1rios nativos do macOS escritos em Go e apresenta quatro est\u00e1gios de infec\u00e7\u00e3o. O primeiro componente, stager teamsSDK.bin, baixa um app falso que imita plataformas como Zoom, Teams ou Meet.<\/p>\n
Em seguida, o malware usa a ferramenta nativa codesign para assinar o bundle, parecendo leg\u00edtimo ao macOS. O c\u00f3digo aponta a op\u00e7\u00e3o Google, que exibe a mensagem not yet implemented.<\/p>\n
O aplicativo falso solicita a senha do usu\u00e1rio tr\u00eas vezes. As duas primeiras tentativas falham, e a tela treme. Na terceira, a janela some e o aplicativo exibe o logo da plataforma simulada.<\/p>\n
Paralelamente, o pr\u00f3ximo est\u00e1gio coleta informa\u00e7\u00f5es da m\u00e1quina por meio de ferramentas do macOS. Dados como hostname, CPU, rede, processos e extens\u00f5es de navegador s\u00e3o enviados ao servidor C2 dos atacantes.<\/p>\n
O terceiro componente cria a persist\u00eancia, simulando um servi\u00e7o de antiv\u00edrus. Ele instala um LaunchAgent para reexecutar o malware a cada login, mantendo a infec\u00e7\u00e3o ap\u00f3s reinicializa\u00e7\u00f5es.<\/p>\n
O est\u00e1gio final, chamado stealer macrasv2, obt\u00e9m credenciais de browsers, cookies, dados do Keychain e tokens. Todo o material \u00e9 compactado e exfiltrado pelo Telegram, via API da plataforma.<\/p>\n
A an\u00e1lise aponta falhas de implementa\u00e7\u00e3o: alguns m\u00f3dulos entram em loop e consomem recursos. Diversos componentes apresentam erros, sugerindo uso n\u00e3o testado exaustivamente.<\/p>\n
Foi exposto o token do bot de exfiltra\u00e7\u00e3o no Telegram, o que permitiria leitura de mensagens e identifica\u00e7\u00e3o do operador. A infraestrutura dos atacantes tamb\u00e9m apareceu com servi\u00e7os de acesso remoto ativos.<\/p>\n
O tr\u00e1fego de rede utiliza as portas 8888 e 9999 com o User-Agent Go-http-client, facilitando a identifica\u00e7\u00e3o em monitoramentos. Recomenda-se an\u00e1lise em sandbox com suporte a macOS para triagem.<\/p>\n","protected":false},"excerpt":{"rendered":"