كبير مسؤولي أمن المعلومات لدى شركة مانموو 23pds يصدر تنبيهًا في 22 أبريل، يفيد بأن مجموعة القراصنة الكورية الشمالية Lazarus Group قد أطلقت مؤخرًا حزمة أدوات برمجيات خبيثة أصلية لنظام macOS بعنوان «Mach-O Man»، مخصصة لاستهداف قطاع العملات المشفرة وكبار مسؤولي المؤسسات عالية القيمة.
أسلوب الهجوم والأهداف
وفقًا لتقرير التحليل الصادر عن Mauro Eldritch، يستخدم الهجوم أسلوب ClickFix: إذ يقوم المهاجمون بإرسال رابط مُضلِّل عبر Telegram (باستخدام حسابات جهات اتصال تم اختراقها) يتنكر على هيئة دعوة اجتماع قانونية، وذلك لتوجيه الهدف إلى موقع ويب مزيف يقلّد Zoom أو Microsoft Teams أو Google Meet، مع مطالبة المستخدم بتنفيذ أوامر في طرفية macOS «لإصلاح» مشكلة الاتصال. يتيح ذلك للمهاجمين الحصول على صلاحيات وصول إلى النظام دون تفعيل إجراءات الحماية الأمنية التقليدية.
تشمل بيانات أهداف الهجوم: بيانات الاعتماد وCookie المحفوظة في المتصفح، وبيانات macOS Keychain، إضافةً إلى بيانات الإضافات في المتصفحات مثل Brave وVivaldi وOpera وChrome وFirefox وSafari. يتم تسريب البيانات المسروقة عبر Telegram Bot API؛ ويشير التقرير إلى أن المهاجمين كشفوا عن رمز بوت Telegram (خطأ في OPSEC)، ما يؤدي إلى تقويض أمان عملياتهم.
تستهدف الهجمات بشكل أساسي المطورين وكبار المسؤولين وصنّاع القرار ضمن قطاع التكنولوجيا المالية وقطاع العملات المشفرة، بالإضافة إلى بيئات المؤسسات عالية القيمة التي يستخدم فيها macOS على نطاق واسع.
المكونات الرئيسية لحزمة Mach-O Man
وفقًا للتحليل التقني لـ Mauro Eldritch، تتألف الحزمة من الوحدات الرئيسية التالية:
teamsSDK.bin: مُدخل أولي، يتخفّى على هيئة Teams أو Zoom أو Google أو تطبيقات النظام، ويقوم بتنفيذ التعرف الأساسي على البصمة النظامية
D1{سلسلة أحرف عشوائية}.bin: محلل للنظام، يجمع اسم المضيف ونوع وحدة المعالجة المركزية ومعلومات نظام التشغيل وقائمة إضافات المتصفح ويرسلها إلى خادم C2
minst2.bin: وحدة استمرارية، تنشئ دليلًا متخفّيًا باسم «Antivirus Service» وLaunchAgent، لضمان استمرار التشغيل بعد كل تسجيل دخول
macrasv2: المُسرِّب النهائي، يجمع بيانات الاعتماد وCookie الخاصة بالمتصفح ومدخلات macOS Keychain، ثم يقوم بتغليفها وتسريبها عبر Telegram مع حذف نفسه تلقائيًا
ملخص مؤشرات الاختراق الحرجة (IOC)
وفقًا لـ IOC المنشور في تقرير Mauro Eldritch:
عناوين IP خبيثة: 172[.]86[.]113[.]102 / 144[.]172[.]114[.]220
نطاقات خبيثة: update-teams[.]live / livemicrosft[.]com
ملفات حرجة (جزئية): teamsSDK.bin وmacrasv2 وminst2.bin وlocalencode وD1YrHRTg.bin وD1yCPUyk.bin
منافذ اتصال C2: 8888 و9999؛ تستخدم بشكل أساسي سلسلة خصائص User-Agent لعميل Go HTTP
للمعلومات الكاملة الخاصة بالقيم التجزئية (hash) ومصفوفة ATT&CK، راجع تقرير البحث الأصلي لـ Mauro Eldritch.
الأسئلة الشائعة
ما هي القطاعات والأهداف التي تستهدفها حزمة «Mach-O Man»؟
وفقًا للتنبيه الصادر عن شركة مانموو 23pds وأبحاث BCA LTD، تستهدف حزمة «Mach-O Man» بشكل رئيسي قطاع التكنولوجيا المالية وقطاع العملات المشفرة، إضافةً إلى بيئات المؤسسات عالية القيمة التي تستخدم فيها macOS على نطاق واسع، وخاصة فئة المطورين وكبار المسؤولين وصنّاع القرار.
كيف يقوم المهاجمون بإقناع مستخدمي macOS بتنفيذ أوامر خبيثة؟
وفقًا لتحليل Mauro Eldritch، يقوم المهاجمون بإرسال رابط مُضلِّل عبر Telegram يتنكر على هيئة دعوة اجتماع قانونية، ويوجهون المستخدم إلى موقع ويب مزيف يقلّد Zoom أو Teams أو Google Meet، ثم يطلبون من المستخدم تنفيذ أوامر في طرفية macOS «لإصلاح» مشكلة الاتصال، ما يؤدي إلى تفعيل تثبيت البرمجيات الخبيثة.
كيف تحقق «Mach-O Man» تسريب البيانات؟
وفقًا للتحليل التقني لـ Mauro Eldritch، تقوم الوحدة النهائية macrasv2 بجمع بيانات اعتمادات المتصفح وCookie وبيانات macOS Keychain ثم تغليفها وتسريبها عبر Telegram Bot API؛ وفي الوقت نفسه، يستخدم المهاجمون سكربتًا لحذف الذات لمسح آثار النظام.
إخلاء المسؤولية: قد تكون المعلومات الواردة في هذه الصفحة من مصادر خارجية ولا تمثل آراء أو مواقف Gate. المحتوى المعروض في هذه الصفحة هو لأغراض مرجعية فقط ولا يشكّل أي نصيحة مالية أو استثمارية أو قانونية. لا تضمن Gate دقة أو اكتمال المعلومات، ولا تتحمّل أي مسؤولية عن أي خسائر ناتجة عن استخدام هذه المعلومات. تنطوي الاستثمارات في الأصول الافتراضية على مخاطر عالية وتخضع لتقلبات سعرية كبيرة. قد تخسر كامل رأس المال المستثمر. يرجى فهم المخاطر ذات الصلة فهمًا كاملًا واتخاذ قرارات مدروسة بناءً على وضعك المالي وقدرتك على تحمّل المخاطر. للتفاصيل، يرجى الرجوع إلى
إخلاء المسؤولية.
مقالات ذات صلة
تم الحكم على شخص يبلغ من العمر 22 عامًا بالسجن لمدة 70 شهرًا لسرقة $263 مليون دولار من العملات المشفرة وغسل الأموال
تم يوم الجمعة الحكم على إيڤان تانجيمان، البالغ من العمر 22 عامًا، وهو مقيم في كاليفورنيا، بالسجن الفدرالي لمدة 70 شهرًا بسبب دوره في غسل عائدات من حلقة سرقة عملات رقمية عبر ولايات متعددة، والتي استولت على ما يقارب $263 مليونًا من الأصول الرقمية من الضحايا، وفقًا لوزارة العدل الأمريكية. U.S.
CryptoFrontierمنذ 1 س
Litecoin在MWEB隐私层遭遇零日漏洞后出现深度链重组
Gate News 消息，4月26日——据Litecoin基金会称，Litecoin在周六下午经历了一次深度链重组，原因是攻击者利用了其MimbleWimble扩展区块 (MWEB) 隐私层中的零日漏洞。
GateNewsمنذ 1 س
Address Linked to Avi Eisenberg Shows New On-Chain Activity, Raising Security Concerns
Gate News message, April 26 — Blockchain analytics platform Arkham has identified renewed on-chain activity from an address believed to be connected to Avi Eisenberg, the attacker who profited approximately $110 million from the 2022 Mango Markets exploit. Eisenberg was previously sentenced to
GateNewsمنذ 3 س
تعرض بروتوكول الإقراض والاقتراض DeFi على سلسلة Sui من Scallop للاختراق، والثغرة في العقود القديمة أدت إلى سرقة 150 ألف SUI
تم استهداف Scallop على سلسلة Sui، وتم استغلال المسار الخفي لعقد جانبي مرتبط بسحب عقد المكافآت الخاصة بـ sSUI، حيث تم سرقة حوالي 150,000 من رموز SUI. يتمتع العقد الأساسي بالأمان، وتمت استعادة الإيداعات والسحوبات. بيان رسمي يقتصر فقط على عقد المكافآت الذي تم إهماله، ولا تتأثر أموال المستخدمين. أشار المطوّر السابق في NEAR Vadim إلى أن مصدر الثغرة يعود إلى حزمة V2 القديمة منذ 17 شهرًا، والتي لم يتم تهيئة last_index مما أدى إلى تراكم المكافآت منذ عام 2023؛ ويجب تنفيذ الإصلاح بإضافة حقل إصدار إلى الكائن المشترك وتعزيز فحوصات الإصدار، لتجنب المخاطر الناتجة عن استخدام الحزم القديمة.
ChainNewsAbmediaمنذ 4 س
Scallop 发现 sSUI 奖励池漏洞，遭受 150K SUI 损失但承诺全额赔付
Gate News 消息，4月26日——Scallop，这是 Sui 生态中的一个借贷协议，宣布发现了与其 sSUI 奖励池相关联的一个辅助合约中的漏洞，导致约损失 150,000 SUI。受影响的合约已被冻结，Scallop 确认
GateNewsمنذ 8 س
لايتكوين تخضع لإعادة تنظيم عميقة لسلسلة الكتل بعد استغلال ثغرة يوم-صفر في طبقة الخصوصية MWEB
رسالة أخبار Gate، 26 أبريل — شهدت لايتكوين في يوم السبت إعادة تنظيم عميقة لسلسلة الكتل (26 أبريل) بعد أن استغل مهاجمون ثغرة يوم-صفر في طبقة الخصوصية MimbleWimble Extension Block (MWEB) وفقًا لمؤسسة لايتكوين. شملت إعادة التنظيم الكتل من 3,095,930 إلى 3,095,943 و
GateNewsمنذ 9 س
