SlowMist 23pds Warnung: Lazarus Group veröffentlicht ein neues macOS-Toolkit für Kryptowährungen

Mao Wei Capital Chief Information Security Officer 23pds veröffentlichte am 22. April eine Warnmeldung und erklärte, dass die nordkoreanische Hackergruppe Lazarus Group ein neues nativ-macOS-Bösartiges-Software-Toolset „Mach-O Man“ veröffentlicht habe, das speziell auf Akteure der Krypto-Branche sowie Führungskräfte in Unternehmen mit hohem Wert zugeschnitten sei.

Angriffsmethoden und Ziele

Laut dem Analysebericht von Mauro Eldritch verwendet dieser Angriff die ClickFix-Methode: Angreifer leiten ihre Ziele über Telegram (mit einem bereits kompromittierten Kontaktkonton) auf einen Link, der als legitime Meeting-Einladung getarnt ist. Der Link führt zu einer gefälschten Website, die Zoom, Microsoft Teams oder Google Meet nachahmt, und fordert den Nutzer auf, Befehle im macOS-Terminal auszuführen, um „Verbindungsprobleme“ zu „reparieren“. Dadurch erhält der Angreifer Systemzugriffsrechte, ohne dass dabei die herkömmlichen Sicherheitskontrollen ausgelöst werden.

Zu den Zieldaten gehören: in Browsern gespeicherte Anmeldeinformationen und Cookies, Daten aus dem macOS Keychain sowie Erweiterungsdaten der Browser Brave, Vivaldi, Opera, Chrome, Firefox und Safari. Die gestohlenen Daten werden über die Telegram Bot API exfiltriert; der Bericht weist darauf hin, dass die Angreifer Telegram-Bot-Token offengelegt haben (OPSEC-Fehler), wodurch die Sicherheit ihres Handelns beeinträchtigt wurde.

Die Angriffsziele sind hauptsächlich Entwickler, Führungskräfte und Entscheidungsträger in FinTech- und Krypto-Branchen sowie in hochwertigen Unternehmensumgebungen, in denen macOS weit verbreitet ist.

Hauptkomponenten des Mach-O Man-Toolsets

Laut der technischen Analyse von Mauro Eldritch besteht das Toolset aus den folgenden wichtigsten Modulen:

teamsSDK.bin: Initialer Dropper, getarnt als Teams, Zoom, Google oder Systemanwendung; führt eine grundlegende System-Fingerabdruck-Erkennung aus

D1{zufällige Zeichenfolge}.bin: Systemanalysator, sammelt den Hostnamen, den CPU-Typ, Betriebssysteminformationen sowie eine Liste von Browser-Erweiterungen und sendet diese an den C2-Server

minst2.bin: Persistenzmodul, erstellt ein getarntes „Antivirus Service“-Verzeichnis und einen LaunchAgent, um sicherzustellen, dass die Ausführung nach jeder Anmeldung fortgesetzt wird

macrasv2: Finaler Stealer, sammelt Browser-Anmeldeinformationen, Cookies und macOS-Keychain-Items, verpackt die Daten, exfiltriert sie über Telegram und löscht sich anschließend selbst

Kurzfassung der wichtigsten Indikatoren für Kompromittierung (IOC)

Laut den vom Bericht von Mauro Eldritch veröffentlichten IOCs:

Bösartige IPs: 172[.]86[.]113[.]102 / 144[.]172[.]114[.]220

Bösartige Domains: update-teams[.]live / livemicrosft[.]com

Wichtige Dateien (teilweise): teamsSDK.bin, macrasv2, minst2.bin, localencode, D1YrHRTg.bin, D1yCPUyk.bin

C2-Kommunikationsports: 8888 und 9999; hauptsächlich mit Go-HTTP-Client-User-Agent-Erkennungszeichenketten

Den vollständigen Hash-Wert und die ATT&CK-Matrix finden Sie im ursprünglichen Forschungsbericht von Mauro Eldritch.

Häufige Fragen

„Mach-O Man“-Toolset: Welche Branchen und Ziele werden angegriffen?

Laut der Warnmeldung von Slow Mist 23pds und der Forschung von BCA LTD richtet sich „Mach-O Man“ vor allem an die FinTech- und Krypto-Branche sowie an hochwerthaltige Unternehmensumgebungen, in denen macOS weit verbreitet ist, insbesondere an die Gruppen der Entwickler, Führungskräfte und Entscheidungsträger.

Wie verleiten Angreifer macOS-Nutzer dazu, bösartige Befehle auszuführen?

Laut der Analyse von Mauro Eldritch senden Angreifer über Telegram Links, die als legitime Meeting-Einladungen getarnt sind. Dadurch werden Nutzer auf gefälschte Websites geleitet, die Zoom, Teams oder Google Meet nachahmen, und die Nutzer werden aufgefordert, im macOS-Terminal Befehle auszuführen, um Verbindungsprobleme zu „reparieren“, wodurch die Installation der bösartigen Software ausgelöst wird.

Wie führt „Mach-O Man“ die Datenexfiltration durch?

Laut der technischen Analyse von Mauro Eldritch sammelt das finale Modul macrasv2 nach dem Sammeln von Browser-Anmeldeinformationen, Cookies und macOS-Keychain-Daten diese, verpackt sie und exfiltriert sie über die Telegram Bot API; gleichzeitig nutzt der Angreifer ein Self-Delete-Skript, um Systemspuren zu löschen.