Експерти з SentinelLabs виявили свіжу кібератаку, що здійснюється хакерами, пов’язаними з Північною Кореєю, на користувачів macOS, метою якої є крадіжка криптовалюти та чутливої інформації, як повідомляє TechRadar.
Вони виявили бекдор, відомий як NimDoor, написаний на рідкісній мові програмування Nim, що дозволяє уникнути виявлення стандартними антивірусними програмами. Після інсталяції NimDoor використовує AppleScript для зв’язку та асинхронних таймерів сну, що дозволяє шкідливому програмному забезпеченню залишатися непоміченим у системі і обходити засоби безпеки. Термін "beaconing" у кібербезпеці описує метод, за допомогою якого шкідливе ПЗ періодично зв’язується з сервером управління (C2), щоб підтвердити свою присутність та отримати команди або передати дані.
Процес атаки зазвичай починається через Telegram: жертви отримують повідомлення від вигаданого довіреного контакту з запрошенням на Zoom-зустріч. Коли користувач натискає на посилання, відкривається підроблена сторінка Zoom, що запитує встановлення "оновлення" для участі в дзвінку. В результаті, завантажується шкідливий код NimDoor, який краде різні дані:
- Історію браузера та пошукові запити;
- Файли cookie та чати з Telegram;
- Паролі з macOS Keychain.
"Це викликає занепокоєння з огляду на розвиток кіберможливостей Північної Кореї, особливо з урахуванням популярності дистанційної роботи та помилкового відчуття безпеки серед користувачів Mac", — зазначили в SentinelLabs.
Групи державних хакерів Північної Кореї, зокрема відомі Lazarus Group, вже здійснювали крадіжки коштів в криптовалюті для фінансування своїх програм. З 2021 до початку 2025 року вони вкрали більше $3,4 мільярда, включаючи:
- Атака на біржу ByBit у лютому 2025 року: приблизно $1,5 млрд у токенах;
- Злом Ronin Bridge у березні 2022 року: близько $600 млн;
- Атака на Poly Network у 2021 році: близько $600 млн.
Експерти закликають всіх користувачів macOS бути уважними: не відкривати підозрілі посилання, навіть якщо вони надходять від знайомих, та встановлювати оновлення лише через офіційні канали, а не через спливаючі вікна в браузері.
