Le groupe de piratage lié à la Corée du Nord Lazarus a lancé des attaques visant des portefeuilles de crypto à l’aide d’un malware nouvellement découvert appelé Mach-O Man, selon un rapport d’analyse de malware publié le 21 avril par le cabinet de sécurité ANY.RUN. Le code malveillant est conçu pour voler les données de trousseau, les identifiants de navigateur et les sessions de connexion sur des systèmes macOS afin d’obtenir un accès non autorisé aux portefeuilles d’actifs numériques et aux comptes d’échange.
Contrairement aux campagnes Lazarus précédentes, cette attaque cible spécifiquement les utilisateurs d’Apple macOS. Le malware collecte des sessions de connexion et des identifiants d’authentification depuis l’appareil Mac de la victime, qui sont ensuite utilisés pour compromettre l’accès au portefeuille et les identifiants des comptes d’échange. Les cibles principales incluent des employés d’entreprises d’actifs numériques, des développeurs et des dirigeants. ANY.RUN a averti qu’une compromission d’un seul compte pourrait exposer à la fois les droits d’accès au portefeuille et les systèmes internes de l’entreprise, pouvant mener à un vol à grande échelle.
Le malware est distribué via ClickFix, une technique d’ingénierie sociale qui utilise de faux messages d’erreur et des pop-ups pour tromper les utilisateurs en leur faisant copier et exécuter des commandes malveillantes. Les attaques sont principalement menées via Telegram à l’aide de comptes personnels compromis, les victimes étant dirigées vers de faux liens de réunion ressemblant à Zoom, Microsoft Teams ou Google Meet. Les utilisateurs sont ensuite invités à exécuter des commandes sous prétexte de résoudre des problèmes de connexion. Cette méthode d’exécution initiée par l’utilisateur peut facilement contourner les systèmes de sécurité traditionnels.
La divulgation intervient après le piratage de Kelp DAO le 20 avril, qui s’est soldé par le vol de 116 500 rsETH (restaked Ethereum). LayerZero a identifié TraderTraitor, une organisation affiliée à Lazarus, comme responsable de l’attaque. rsETH est distribué sur plusieurs blockchains, les transferts inter-chaînes étant gérés par la norme (OFT) de jeton fongible omnichain de LayerZero.
