مؤسّسة SlowMist 23pds تحذير: نشر فريق Lazarus Group مجموعة أدوات جديدة لنظام macOS مخصّصة للتمويل المشفّر

كبير مسؤولي أمن المعلومات لدى شركة مانموو 23pds يصدر تنبيهًا في 22 أبريل، يفيد بأن مجموعة القراصنة الكورية الشمالية Lazarus Group قد أطلقت مؤخرًا حزمة أدوات برمجيات خبيثة أصلية لنظام macOS بعنوان «Mach-O Man»، مخصصة لاستهداف قطاع العملات المشفرة وكبار مسؤولي المؤسسات عالية القيمة.

أسلوب الهجوم والأهداف

وفقًا لتقرير التحليل الصادر عن Mauro Eldritch، يستخدم الهجوم أسلوب ClickFix: إذ يقوم المهاجمون بإرسال رابط مُضلِّل عبر Telegram (باستخدام حسابات جهات اتصال تم اختراقها) يتنكر على هيئة دعوة اجتماع قانونية، وذلك لتوجيه الهدف إلى موقع ويب مزيف يقلّد Zoom أو Microsoft Teams أو Google Meet، مع مطالبة المستخدم بتنفيذ أوامر في طرفية macOS «لإصلاح» مشكلة الاتصال. يتيح ذلك للمهاجمين الحصول على صلاحيات وصول إلى النظام دون تفعيل إجراءات الحماية الأمنية التقليدية.

تشمل بيانات أهداف الهجوم: بيانات الاعتماد وCookie المحفوظة في المتصفح، وبيانات macOS Keychain، إضافةً إلى بيانات الإضافات في المتصفحات مثل Brave وVivaldi وOpera وChrome وFirefox وSafari. يتم تسريب البيانات المسروقة عبر Telegram Bot API؛ ويشير التقرير إلى أن المهاجمين كشفوا عن رمز بوت Telegram (خطأ في OPSEC)، ما يؤدي إلى تقويض أمان عملياتهم.

تستهدف الهجمات بشكل أساسي المطورين وكبار المسؤولين وصنّاع القرار ضمن قطاع التكنولوجيا المالية وقطاع العملات المشفرة، بالإضافة إلى بيئات المؤسسات عالية القيمة التي يستخدم فيها macOS على نطاق واسع.

المكونات الرئيسية لحزمة Mach-O Man

وفقًا للتحليل التقني لـ Mauro Eldritch، تتألف الحزمة من الوحدات الرئيسية التالية:

teamsSDK.bin: مُدخل أولي، يتخفّى على هيئة Teams أو Zoom أو Google أو تطبيقات النظام، ويقوم بتنفيذ التعرف الأساسي على البصمة النظامية

D1{سلسلة أحرف عشوائية}.bin: محلل للنظام، يجمع اسم المضيف ونوع وحدة المعالجة المركزية ومعلومات نظام التشغيل وقائمة إضافات المتصفح ويرسلها إلى خادم C2

minst2.bin: وحدة استمرارية، تنشئ دليلًا متخفّيًا باسم «Antivirus Service» وLaunchAgent، لضمان استمرار التشغيل بعد كل تسجيل دخول

macrasv2: المُسرِّب النهائي، يجمع بيانات الاعتماد وCookie الخاصة بالمتصفح ومدخلات macOS Keychain، ثم يقوم بتغليفها وتسريبها عبر Telegram مع حذف نفسه تلقائيًا

ملخص مؤشرات الاختراق الحرجة (IOC)

وفقًا لـ IOC المنشور في تقرير Mauro Eldritch:

عناوين IP خبيثة: 172[.]86[.]113[.]102 / 144[.]172[.]114[.]220

نطاقات خبيثة: update-teams[.]live / livemicrosft[.]com

ملفات حرجة (جزئية): teamsSDK.bin وmacrasv2 وminst2.bin وlocalencode وD1YrHRTg.bin وD1yCPUyk.bin

منافذ اتصال C2: 8888 و9999؛ تستخدم بشكل أساسي سلسلة خصائص User-Agent لعميل Go HTTP

للمعلومات الكاملة الخاصة بالقيم التجزئية (hash) ومصفوفة ATT&CK، راجع تقرير البحث الأصلي لـ Mauro Eldritch.

الأسئلة الشائعة

ما هي القطاعات والأهداف التي تستهدفها حزمة «Mach-O Man»؟

وفقًا للتنبيه الصادر عن شركة مانموو 23pds وأبحاث BCA LTD، تستهدف حزمة «Mach-O Man» بشكل رئيسي قطاع التكنولوجيا المالية وقطاع العملات المشفرة، إضافةً إلى بيئات المؤسسات عالية القيمة التي تستخدم فيها macOS على نطاق واسع، وخاصة فئة المطورين وكبار المسؤولين وصنّاع القرار.

كيف يقوم المهاجمون بإقناع مستخدمي macOS بتنفيذ أوامر خبيثة؟

وفقًا لتحليل Mauro Eldritch، يقوم المهاجمون بإرسال رابط مُضلِّل عبر Telegram يتنكر على هيئة دعوة اجتماع قانونية، ويوجهون المستخدم إلى موقع ويب مزيف يقلّد Zoom أو Teams أو Google Meet، ثم يطلبون من المستخدم تنفيذ أوامر في طرفية macOS «لإصلاح» مشكلة الاتصال، ما يؤدي إلى تفعيل تثبيت البرمجيات الخبيثة.

كيف تحقق «Mach-O Man» تسريب البيانات؟

وفقًا للتحليل التقني لـ Mauro Eldritch، تقوم الوحدة النهائية macrasv2 بجمع بيانات اعتمادات المتصفح وCookie وبيانات macOS Keychain ثم تغليفها وتسريبها عبر Telegram Bot API؛ وفي الوقت نفسه، يستخدم المهاجمون سكربتًا لحذف الذات لمسح آثار النظام.