El 22 de abril, el CISO de empresa SlowMist 23pds publicó un aviso, señalando que el grupo de hackers norcoreano Lazarus Group ha lanzado un nuevo kit de herramientas de malware nativo para macOS, “Mach-O Man”, diseñado específicamente para la industria de las criptomonedas y ejecutivos de alto valor.
Técnicas de ataque y objetivos
Según el informe de análisis de Mauro Eldritch, este ataque utiliza la técnica ClickFix: los atacantes envían, mediante Telegram (usando cuentas de contactos comprometidas), enlaces disfrazados como invitaciones legítimas a reuniones, para dirigir a las víctimas a sitios web falsos que imitan Zoom, Microsoft Teams o Google Meet, y piden a los usuarios que ejecuten comandos en el terminal de macOS para “reparar” problemas de conexión. Esta operación permite a los atacantes obtener acceso al sistema sin activar las medidas de seguridad tradicionales.
Los objetivos del ataque incluyen: credenciales y cookies almacenadas en el navegador, datos del llavero (Keychain) de macOS, y datos de extensiones de navegadores como Brave, Vivaldi, Opera, Chrome, Firefox y Safari. Los datos robados se filtran a través de la Telegram Bot API; el informe indica que los atacantes expusieron tokens de bots de Telegram (fallo de OPSEC), debilitando su seguridad operativa.
Los objetivos del ataque son principalmente desarrolladores, ejecutivos y responsables de la toma de decisiones en entornos de alto valor del sector de tecnología financiera y criptomonedas, así como en entornos empresariales donde macOS se usa ampliamente.
Componentes principales del kit Mach-O Man
Según el análisis técnico de Mauro Eldritch, el kit se compone de los siguientes módulos principales:
teamsSDK.bin: implantador inicial, disfrazado como Teams, Zoom, Google o aplicaciones del sistema; ejecuta el reconocimiento básico de la huella del sistema
D1{cadena de texto aleatoria}.bin: analizador del sistema, recopila el nombre del host, el tipo de CPU, la información del sistema operativo y la lista de extensiones del navegador, y la envía al servidor C2
minst2.bin: módulo de persistencia, crea el directorio y LaunchAgent del disfraz “Antivirus Service” para asegurar que se ejecute continuamente después de cada inicio de sesión
macrasv2: cargador final/robo, recopila credenciales del navegador, cookies y entradas del Keychain de macOS, las empaqueta, las filtra mediante Telegram y se autoelimina
Resumen de indicadores clave de intrusión (IOC)
Según los IOC publicados en el informe de Mauro Eldritch:
IP maliciosa: 172[.]86[.]113[.]102 / 144[.]172[.]114[.]220
Dominio malicioso: update-teams[.]live / livemicrosft[.]com
Archivos clave (parcial): teamsSDK.bin, macrasv2, minst2.bin, localencode, D1YrHRTg.bin, D1yCPUyk.bin
Puertos de comunicación C2: 8888 y 9999; principalmente se usan cadenas de características de User-Agent de un cliente HTTP Go
El hash completo y la matriz ATT&CK se encuentran en el informe de investigación original de Mauro Eldritch.
Preguntas frecuentes
¿Qué industrias y objetivos ataca el kit “Mach-O Man”?
Según el aviso de SlowMist 23pds y la investigación de BCA LTD, “Mach-O Man” se enfoca principalmente en la industria de tecnología financiera y las criptomonedas, así como en entornos empresariales de alto valor donde macOS se usa ampliamente; en particular, el grupo de desarrolladores, ejecutivos y responsables de la toma de decisiones.
¿Cómo induce el atacante a los usuarios de macOS a ejecutar comandos maliciosos?
Según el análisis de Mauro Eldritch, los atacantes envían por Telegram enlaces disfrazados como invitaciones legítimas a reuniones, dirigiendo a los usuarios a sitios web falsos que imitan Zoom, Teams o Google Meet; luego les indican que ejecuten comandos en el terminal de macOS para “reparar” problemas de conexión, lo que activa la instalación de malware.
¿Cómo logra “Mach-O Man” la exfiltración de datos?
Según el análisis técnico de Mauro Eldritch, el módulo final macrasv2 recopila credenciales del navegador, cookies y datos del Keychain de macOS, los empaqueta y los filtra a través de la Telegram Bot API; al mismo tiempo, el atacante utiliza scripts de autoeliminación para borrar rastros del sistema.
Aviso legal: La información de esta página puede proceder de terceros y no representa los puntos de vista ni las opiniones de Gate. El contenido que aparece en esta página es solo para fines informativos y no constituye ningún tipo de asesoramiento financiero, de inversión o legal. Gate no garantiza la exactitud ni la integridad de la información y no se hace responsable de ninguna pérdida derivada del uso de esta información. Las inversiones en activos virtuales conllevan riesgos elevados y están sujetas a una volatilidad significativa de los precios. Podrías perder todo el capital invertido. Asegúrate de entender completamente los riesgos asociados y toma decisiones prudentes de acuerdo con tu situación financiera y tu tolerancia al riesgo. Para obtener más información, consulta el
Aviso legal.
Artículos relacionados
Familia francesa obligada a transferir $820K en cripto tras una invasión armada en su hogar
Mensaje de Gate News, 22 de abril — Una familia en Ploudalmézeau, un pequeño pueblo de Bretaña, Francia, fue invadida por dos hombres armados con el rostro cubierto el lunes (20 de abril), según la información de The Block. Tres adultos fueron atados durante más de tres horas y obligados a transferir aproximadamente 700,000 euros (alrededor de $820,000) i
GateNewsHace28m
El DOJ lanza un proceso de compensación para víctimas del fraude de OneCoin, $40M+ en activos recuperados disponibles
Mensaje de Gate News, 22 de abril — El Departamento de Justicia de EE. UU. ha anunciado el lanzamiento de un proceso de compensación para las víctimas del esquema de fraude de la criptomoneda OneCoin, con más de $40 millones en activos recuperados ahora disponibles para su distribución.
El esquema, operado entre 2014 y 2019 por Ruja
GateNewshace1h
Demandan a los creadores de AI16Z y ELIZAOS por presuntas estafas de 2.6B; caídas de tokens del 99.9% desde el pico
Una demanda colectiva federal acusa a AI16Z/ELIZAOS de un fraude cripto de 2.6B mediante afirmaciones falsas de IA y marketing engañoso, alegando favoritismo por parte de insiders y un sistema autónomo preparado; busca daños y perjuicios conforme a las leyes de protección al consumidor.
Resumen: Este informe cubre una demanda colectiva federal presentada en el SDNY el 21 de abril que acusa a AI16Z y a su cambio de marca ELIZAOS de un fraude cripto de 2,600 millones de dólares que involucra afirmaciones falsas de IA y marketing engañoso. La demanda alega un vínculo fabricado con Andreessen Horowitz y un sistema no autónomo. Detalla una valoración máxima a inicios de 2025, una caída del 99.9% y cerca de 4,000 carteras perdedoras, y que los insiders recibieron ~40% de los nuevos tokens. Los demandantes buscan daños y reparación equitativa conforme a las leyes de protección al consumidor de Nueva York y California. Los reguladores en Corea y las principales bolsas han advertido o suspendido el trading relacionado.
GateNewshace2h
Aviso de SlowMist: Malware activo de macOS MacSync Stealer dirigido a usuarios cripto
SlowMist advierte sobre MacSync Stealer (v1.1.2) para macOS, que roba billeteras, credenciales, llaveros y claves de infraestructura. Lo hace mediante avisos de AppleScript suplantados y errores falsos de "unsupported"; insta a tener precaución y a prestar atención a los IOCs.
Resumen: Este informe resume la alerta de SlowMist sobre MacSync Stealer (v1.1.2), un malware ladrón de información para macOS que se dirige a billeteras de criptomonedas, credenciales del navegador, llaveros del sistema y claves de infraestructura (SSH, AWS, Kubernetes). Engaña a los usuarios con diálogos de AppleScript suplantados que solicitan contraseñas y mensajes falsos visibles de "unsupported". SlowMist proporciona IOCs a los clientes y recomienda evitar scripts de macOS no verificados y mantenerse atento ante solicitudes de contraseñas inusuales.
GateNewshace3h
朝鲜拉撒路组织部署 Mach-O Man 恶意软件，从 macOS 用户窃取加密钱包凭据
Lazarus 在 macOS 上发布 Mach-O Man，以窃取钥匙串数据和钱包凭据，借助 ClickFix 弹窗瞄准加密高管，并通过被入侵的 Telegram 会议实施攻击。
摘要：该文章称，Lazarus 关联的 Mach-O Man 恶意软件以 macOS 为目标，用于外传钥匙串数据、浏览器凭据和登录会话，以访问加密货币钱包和交易所账户。其分发依赖 ClickFix 社会工程学，并通过被入侵的 Telegram 账户将受害者引导至虚假的会议链接。文章将该行动与 4 月 20 日的 Kelp DAO 黑客事件联系起来，并点名 TraderTraitor 为 Lazarus 关联方，同时提到 rsETH 通过 LayerZero 的 OFT 标准在各区块链之间转移。
GateNewshace4h
ZachXBT Advierte Contra el Cajero de Bitcoin Depot con Más del 44% de Recargo de Bitcoin
ZachXBT advierte que los cajeros automáticos de Bitcoin Depot imponen primas elevadas—$25k fiat a $108k/BTC frente a ~$75k del mercado (aprox. 44%), lo que provoca ~una pérdida de $7.5k en 0.232 BTC; también señala una filtración de seguridad de $3.26M.
Este artículo resume las advertencias de ZachXBT sobre las prácticas de fijación de precios de Bitcoin Depot y una brecha de seguridad reciente, destacando los riesgos derivados de tarifas infladas y fallos de seguridad para los usuarios.
GateNewshace6h
