SlowMist 23pds Aviso: O Lazarus Group publicou um novo kit de ferramentas para macOS voltado a criptomoedas

O Chief Information Security Officer (CISO) da empresa MÃog Wu (23pds) publicou um alerta em 22 de abril, afirmando que o grupo de hackers norte-coreano Lazarus Group lançou um novo kit de ferramentas de malware nativo para macOS chamado “Mach-O Man”, projetado especificamente para a indústria de criptomoedas e para executivos de alto valor.

Técnicas de ataque e alvos

De acordo com o relatório de análise de Mauro Eldritch, este ataque utiliza a técnica ClickFix: os atacantes enviam links disfarçados de convites legítimos para reuniões via Telegram (usando contas de contatos comprometidas), direcionando as vítimas a um site falso que imita Zoom, Microsoft Teams ou Google Meet, e solicitando que o usuário execute comandos no terminal do macOS para “corrigir” problemas de conexão. Essa operação permite que os atacantes obtenham acesso ao sistema sem disparar medidas de segurança tradicionais.

Os dados-alvo incluem: credenciais e cookies armazenados no navegador, dados do macOS Keychain e dados das extensões de navegadores como Brave, Vivaldi, Opera, Chrome, Firefox e Safari. Os dados roubados são exfiltrados por meio do Telegram Bot API; o relatório indica que os atacantes expuseram o token do bot do Telegram (falha de OPSEC), enfraquecendo a segurança operacional de suas ações.

Os alvos do ataque são principalmente desenvolvedores, executivos e tomadores de decisão no setor de fintech e criptomoedas, bem como em ambientes corporativos de alto valor em que o macOS é amplamente utilizado.

Principais componentes do kit “Mach-O Man”

De acordo com a análise técnica de Mauro Eldritch, o kit é composto pelos seguintes módulos principais:

teamsSDK.bin: carregador inicial (inicializador), disfarçado como Teams, Zoom, Google ou aplicativo do sistema, realizando identificação básica de impressão digital do sistema

D1{string aleatória}.bin: analisador do sistema, coleta o nome da máquina, tipo de CPU, informações do sistema operacional e lista de extensões do navegador, e envia essas informações para o servidor C2

minst2.bin: módulo de persistência, cria diretório com disfarce “Antivirus Service” e um LaunchAgent para garantir execução contínua após cada login

macrasv2: coletor final (exfiltrador), coleta credenciais, cookies e entradas do macOS Keychain no navegador; depois empacota, exfiltra via Telegram e se autoelimina

Resumo de indicadores de comprometimento (IOC)

Conforme os IOCs divulgados no relatório de Mauro Eldritch:

IP malicioso: 172[.]86[.]113[.]102 / 144[.]172[.]114[.]220

Domínio malicioso: update-teams[.]live / livemicrosft[.]com

Arquivos-chave (parcial): teamsSDK.bin, macrasv2, minst2.bin, localencode, D1YrHRTg.bin, D1yCPUyk.bin

Portas de comunicação C2: 8888 e 9999; usa principalmente a string de características do User-Agent do cliente HTTP Go

Valores de hash completos e a matriz ATT&CK estão no relatório de pesquisa original de Mauro Eldritch.

Perguntas frequentes

“Mach-O Man” mira quais setores e alvos?

De acordo com o alerta do MÃog Wu 23pds e a pesquisa da BCA LTD, o “Mach-O Man” mira principalmente o setor de fintech e criptomoedas, além de ambientes corporativos de alto valor em que o macOS é amplamente utilizado, especialmente os grupos de desenvolvedores, executivos e tomadores de decisão.

Como os atacantes induzem usuários de macOS a executarem comandos maliciosos?

De acordo com a análise de Mauro Eldritch, os atacantes enviam via Telegram links disfarçados de convites legítimos para reuniões, direcionando o usuário a um site falso que imita Zoom, Teams ou Google Meet. Em seguida, pedem que o usuário execute comandos no terminal do macOS para “corrigir” problemas de conexão, o que aciona a instalação do malware.

Como o “Mach-O Man” realiza a exfiltração de dados?

De acordo com a análise técnica de Mauro Eldritch, o módulo final macrasv2 coleta credenciais do navegador, cookies e dados do macOS Keychain, empacota as informações e as exfiltra via Telegram Bot API; ao mesmo tempo, os atacantes usam um script de autoexclusão para limpar rastros do sistema.