Nordkoreas Lazarus-grupp och deras nya kampanj
Nordkoreas Lazarus-grupp använder ”Mach-O Man”-malware för macOS och falska mötesinbjudningar för att angripa kryptochefer och finansiera nio-siffriga DeFi-raider. Enligt blockchain-säkerhetsföretaget CertiK har Lazarus inlett en ny kampanj som riktar sig direkt mot chefer inom fintech och kryptovaluta.
Operationen ”Mach-O Man”
Operationen, som kallas ”Mach-O Man”, kombinerar social ingenjörskonst med terminalnivå-payloads för att stjäla kryptovaluta och känslig företagsdata, samtidigt som den lämnar nästan inga spår på disken. CertiK:s forskare rapporterar att kampanjen bygger på ClickFix-tekniken, där offer luras att klistra in vad som ser ut som ”reparations”- eller ”verifierings”-kommandon direkt i macOS Terminal under falska support- eller mötesflöden.
I detta fall används lockbeten i form av falska online-mötesinbjudningar som ”lurar offer att klistra in skadliga reparationskommandon i Mac-terminaler”, med en verktygslåda som automatiskt raderar sig själv efter användning för att försvåra forensisk analys, enligt CertiK:s analys.
Kopplingar till Chollima-enheten
Enligt hotintelligensföretaget SOC Prime är ”Mach-O Man”-ramverket kopplat till Lazarus berömda Chollima-enhet och distribueras genom komprometterade Telegram-konton och falska mötesinbjudningar som riktar sig mot högvärdiga kryptovaluta- och finansorganisationer. Verktygslådan inkluderar flera Mach-O-binarier som är utformade för att profilera värden, etablera beständighet och exfiltrera autentiseringsuppgifter samt webbläsardata via Telegram-baserad kommando- och kontroll.
Liknande kampanjer och konsekvenser
Google Clouds Mandiant har tidigare beskrivit liknande macOS-kampanjer som blandar ClickFix med AI-assisterade videodjupfakes, falska Zoom-samtal och kapade meddelandekonton för att pressa mål att utföra obfuskade kommandon.
”Kampanjen använde ett komprometterat Telegram-konto, ett falskt Zoom-möte och AI-assisterad bedrägeri för att lura offer att utföra terminalkommandon som ledde till en macOS-infektionskedja,”
skrev Mandiants forskare.
CertiK-forskaren Natalie Newson kopplade den senaste ”Mach-O Man”-vågen till en bredare Lazarus-push som har stulit mer än 500 miljoner dollar från DeFi-plattformarna Drift och KelpDAO på lite mer än två veckor. I dessa incidenter kombinerade Lazarus påstått social ingenjörskonst mot ett handelsföretag med en sofistikerad cross-chain-exploatering som gjorde det möjligt för angripare att prägla ungefär 116 500 rsETH och tömma cirka 292 miljoner dollar i värde.
Framtiden för kryptovalutaekosystemet
LayerZero, som tillhandahåller broinfrastrukturen som används av KelpDAO, har sagt att Nordkoreas Lazarus-grupp är den ”sannolika aktören” bakom rsETH-exploateringen och skyllde på en design med en enda felpunkt för verifieraren som möjliggjorde det förfalskade cross-chain-meddelandet.
”Lazarus har riktat in sig på kryptovalutaekosystemet i flera år och stulit ungefär 2 miljarder dollar i virtuella tillgångar under 2023 och 2024,”
rapporterade säkerhetsuttaget SecurityWeek och hänvisade till tidigare ClickFix-aktiverade kampanjer.
Med DeFi som redan lider av vad forskningsuttag har kallat sin värsta månad någonsin för hack, prissätter marknaderna nu effektivt in en annan exploatering på över 100 miljoner dollar i år, vilket understryker hur statligt kopplade angripare som Lazarus har blivit systemiska för kryptorisk.
