O director de segurança de informação da Mawang, 23pds, publicou um aviso em 22 de abril, afirmando que a organização de hackers norte-coreana Lazarus Group lançou um novo kit de ferramentas de malware nativo para macOS, “Mach-O Man”, especializado no sector das criptomoedas e em quadros executivos de empresas de elevado valor.
Técnicas de ataque e alvos
De acordo com o relatório de análise de Mauro Eldritch, este ataque utiliza a técnica ClickFix: os atacantes enviam, via Telegram (utilizando contas de contactos já comprometidas), ligações disfarçadas como convites legítimos para reuniões, levando o alvo a um site falso que imita Zoom, Microsoft Teams ou Google Meet, e pedem ao utilizador que execute comandos no terminal do macOS para “resolver” problemas de ligação. Esta operação permite ao atacante obter acesso ao sistema sem despoletar as medidas de controlo de segurança tradicionais.
Os dados-alvo incluem: credenciais e cookies guardados no navegador, dados do macOS Keychain, e dados das extensões de navegadores como Brave, Vivaldi, Opera, Chrome, Firefox e Safari. Os dados exfiltrados são divulgados através da Telegram Bot API; o relatório indica que os atacantes expuseram tokens de bots do Telegram (falha de OPSEC), enfraquecendo a sua segurança operacional.
Os alvos do ataque são principalmente programadores, executivos e decisores em ambientes empresariais de elevado valor, nomeadamente nas áreas de fintech e criptomoedas, bem como em ambientes em que o macOS é amplamente utilizado.
Principais componentes do kit Mach-O Man
De acordo com a análise técnica de Mauro Eldritch, o kit é composto pelos seguintes módulos principais:
teamsSDK.bin: injetor inicial, disfarçado como Teams, Zoom, Google ou aplicação do sistema, executa reconhecimento básico de impressão digital do sistema
D1{cadeia_aleatória}.bin: analisador do sistema, recolhe o nome do anfitrião, tipo de CPU, informação do sistema operativo e a lista de extensões do navegador e envia para o servidor C2
minst2.bin: módulo de persistência, cria o diretório disfarçado “Antivirus Service” e um LaunchAgent para garantir execução contínua após cada início de sessão
macrasv2: analisador final (roubo), recolhe credenciais do navegador, cookies e entradas do macOS Keychain, empacota os dados, exfiltra-os via Telegram e elimina-se a si próprio
Resumo dos indicadores de comprometimento (IOC) críticos
De acordo com os IOCs publicados no relatório de Mauro Eldritch:
IP malicioso: 172[.]86[.]113[.]102 / 144[.]172[.]114[.]220
domínio malicioso: update-teams[.]live / livemicrosft[.]com
ficheiros críticos (parte): teamsSDK.bin, macrasv2, minst2.bin, localencode, D1YrHRTg.bin, D1yCPUyk.bin
porta de comunicação C2: 8888 e 9999; utiliza principalmente a cadeia de caraterísticas User-Agent do cliente Go HTTP
O valor hash completo e a matriz ATT&CK encontram-se no relatório de investigação original de Mauro Eldritch.
Perguntas frequentes
“Mach-O Man” a que indústrias e objetivos se destina?
De acordo com o aviso da Mawang 23pds e com a investigação da BCA LTD, o “Mach-O Man” visa principalmente o sector de fintech e criptomoedas, bem como ambientes empresariais de elevado valor em que o macOS é amplamente utilizado, especialmente o grupo de programadores, executivos e decisores.
Como é que os atacantes induzem os utilizadores de macOS a executarem comandos maliciosos?
De acordo com a análise de Mauro Eldritch, os atacantes enviam via Telegram ligações disfarçadas como convites legítimos para reuniões, conduzindo os utilizadores a um site falso que imita Zoom, Teams ou Google Meet, e pedem ao utilizador que execute comandos no terminal do macOS para “corrigir” problemas de ligação, desencadeando assim a instalação do malware.
Como é que o “Mach-O Man” implementa a exfiltração de dados?
De acordo com a análise técnica de Mauro Eldritch, o módulo final macrasv2 recolhe credenciais do navegador, cookies e dados do macOS Keychain, empacota-os e exfiltra-os via Telegram Bot API; em simultâneo, os atacantes utilizam um script de eliminação automática para limpar vestígios do sistema.
Isenção de responsabilidade: As informações contidas nesta página podem ser provenientes de terceiros e não representam os pontos de vista ou opiniões da Gate. O conteúdo apresentado nesta página é apenas para referência e não constitui qualquer aconselhamento financeiro, de investimento ou jurídico. A Gate não garante a exatidão ou o carácter exaustivo das informações e não poderá ser responsabilizada por quaisquer perdas resultantes da utilização destas informações. Os investimentos em ativos virtuais implicam riscos elevados e estão sujeitos a uma volatilidade de preços significativa. Pode perder todo o seu capital investido. Compreenda plenamente os riscos relevantes e tome decisões prudentes com base na sua própria situação financeira e tolerância ao risco. Para mais informações, consulte a
Isenção de responsabilidade.
Related Articles
A bolsa Zondacrypto enfrenta acusações de desvio de 350 milhões de dólares, o CEO nega publicamente
Um dos maiores exchanges de criptomoedas da Polónia, a Zondacrypto, o CEO Przemysław Kral (Przemysław Kral) anunciou publicamente a 16 de abril, nas redes sociais, que a exchange não conseguiu aceder a uma carteira que contém 4.503 bitcoins, com um valor actual de mais de 350 milhões de dólares. Kral divulgou o endereço da carteira em causa para refutar alegações de apropriação indevida, mas esta revelação desencadeou imediatamente uma retirada em massa.
MarketWhisper1h atrás
Exposição de pacote npm malicioso no Bitwarden CLI, carteira cripto em risco de roubo
Mau fogão Diretor de Segurança da Informação 23pds encaminha o aviso da equipa de segurança da Bitwarden; a versão 2026.4.0 do Bitwarden CLI foi retirada após, num período de 1,5 horas entre as 17:57 e as 19:30 (hora do leste dos EUA) do dia 22 de abril, terem sido publicadas, via npm, versões de pacotes maliciosos adulterados; a Bitwarden confirmou oficialmente que os dados da vault de passwords e os sistemas de produção não foram afetados.
MarketWhisper1h atrás
JPMorgan: KelpDAO apaga uma falha que elimina 20 mil milhões em DeFi TVL, o apelo institucional sai prejudicado
Uma equipa de investigação da JPMorgan liderada pelo analista Nikolaos Panigirtzoglou, num relatório publicado a 23 de abril, indicou que as vulnerabilidades de segurança persistentes e o valor total bloqueado (TVL) estagnado estão a enfraquecer o apelo da finança descentralizada (DeFi) junto de investidores institucionais. O relatório sublinhou que a vulnerabilidade do KelpDAO eliminou cerca de 20 mil milhões de dólares de DeFi TVL no espaço de alguns dias, expondo riscos estruturais.
MarketWhisper1h atrás
Alerta de névoa da Mist: organização de hackers da Coreia do Norte recruta desenvolvedores Web3 com burlas, roubou 12 milhões em 3 meses
A SlowFogcia de segurança publicou um aviso de emergência, que a organização norte-coreana Lazarus, através da sua sub-organização HexagonalRodent, está a atacar os programadores Web3, recorrendo a táticas de engenharia social como salários elevados e cargos remotos, para induzir os programadores a executar código de avaliação de competências que inclui backdoors de malware, acabando por roubar ativos criptográficos. De acordo com o relatório de investigação da Expel, nos primeiros três meses de 2026, as perdas ascenderam a 12 milhões de dólares.
MarketWhisper1h atrás
A CoW DAO propõe compensar as vítimas de sequestro de domínio do cow.fi, até 100% de reembolso do prejuízo
A CoW DAO publicou uma proposta de compensação (CIP) num fórum de governação a 23 de abril, propondo a criação de um programa de subsídio discricionário para fornecer aos/as vítimas do incidente de sequestro do domínio cow.fi a 14 de abril uma compensação de perdas até 100%. O incidente estima-se que tenha causado perdas aos utilizadores de cerca de 1,2 milhões de dólares USDC. A CoW DAO sublinha que a compensação tem natureza voluntária e de benefício especial, não representando qualquer admissão de responsabilidade legal.
MarketWhisper1h atrás
CryptoQuant: Explosão de vulnerabilidade do KelpDAO, a crise mais grave desde 2024, queda de 33% no TVL da Aave
De acordo com a avaliação da CryptoQuant de 23 de abril, o ataque de exploração da KelpDAO ocorrido na semana passada expôs a Aave a um risco potencial de créditos incobráveis entre 124 e 230 milhões de dólares num prazo de 72 horas, com uma queda acentuada do TVL de 33%. As taxas de juro dos empréstimos em USDT e USDC dispararam de 3,4% para 14%, e a taxa de juro dos empréstimos em ETH atingiu o nível mais alto desde janeiro de 2024, em 8%.
MarketWhisper2h atrás
