Beobachtungen
Die nordkoreanische, staatlich gesteuerte Lazarus-Gruppe setzt ein neues macOS-Schadprogramm „Mach-O Man" ein, das auf Führungskräfte
aus dem Fintech- und Kryptowährungssektor sowie auf hochwertige Unternehmensanwender abzielt. Die Kampagne ist auffällig, da sie
keine technische Schwachstelle ausnutzt, sondern ausschließlich auf Social Engineering beruht. Es wird die Nutzung gängiger
Videokonferenzlösungen imitiert. Seit 2017 hat die Lazarus-Gruppe schätzungsweise 6,7 Milliarden US-Dollar in
Kryptowährungen erlangt. Den jüngsten Operationen werden über 500 Millionen US-Dollar zugeordnet. Ein einzelnes
kompromittiertes macOS-Gerät in einem Fintech- oder Kryptowährungsumfeld kann Zugriff auf Produktionsinfrastrukturen,
SaaS-Plattformen und digitale Asset-Wallets ermöglichen.
Methoden
Der Angriff beginnt mit einer als ClickFix bekannten Social-Engineering-Technik. Zielpersonen erhalten über Telegram eine dringliche
Nachricht, die eine Einladung zu einer Videokonferenz enthält. Der enthaltene Link leitet auf eine gefälschte
Kollaborationsplattform um. Beispielhaft zu nennen sind an dieser Stelle update-teams[.]live oder livemicrosft[.]com. Diese zeigen einen
simulierten Verbindungsfehler an und fordern den Nutzer zur Ausführung eines Terminalbefehls auf. Dieser einzelne Befehl löst die
vollständige Infektionskette aus.
Attribution
Die Kampagne wird der Chollima-Division der Lazarus-Gruppe zugeordnet. Diese Zuordnung stützt sich auf die Nutzung von ClickFix-Lures
über Telegram, die gezielte Ausrichtung auf den Kryptowährungssektor sowie die technische Signatur des modular aufgebauten
Go-kompilierten macOS-Kits. Es handelt sich um Merkmale, die mit früheren Lazarus-Kampagnen übereinstimmen.
Die Taktiken weisen Parallelen zur seit ca. 2020 beobachteten und noch heute aktiven Operation Dream Job auf. Beide Kampagnen nutzen Kommunikationskanäle als Initialvektor ohne technische Exploits, zielen auf hochrangige Einzelpersonen im Fintech- und Kryptowährungsumfeld und verfolgen das strategische Ziel der Devisenbeschaffung für das nordkoreanische Regime.
Handlungsempfehlungen
Organisationen im Fintech-, Web3- und Kryptowährungsumfeld sollten LaunchAgents umgehend auf als OneDrive oder „Antivirus
Service" getarnte Einträge prüfen. Weiterhin sollten Sie plattformübergreifende Sandboxing-Lösungen zur Analyse nativer
Mach-O-Binaries einsetzen. Führungskräfte mit Zugriff auf digitale Assets sind gezielt für ClickFix-Szenarien zu
sensibilisieren. Eine unerwartete Aufforderung zur Terminaleingabe im Kontext eines Videokonferenz-Workflows könnte einen
Angriffsversuch darstellen. Angesichts der Parallelen zu Operation Dream Job sollten Awareness Schulungen auch diesen Modus Operandi mit
gefälschten Jobangeboten und beruflichen Kontaktaufnahmen über soziale Netzwerke einschließen. Ausgehende Verbindungen zur
Telegram-Bot-API sollten netzwerkseitig überwacht werden. Die Domains update-teams[.]live und livemicrosft[.]com sind in
Perimeterschutzsystemen zu hinterlegen.