Исследователи из SentinelLabs обнаружили новую угрозу, исходящую от хакеров, связанных с Северной Кореей, которая нацелена на пользователей macOS для кражи криптовалюты и личных данных, сообщает TechRadar.
Они выявили бэкдор под названием NimDoor, написанный на относительно редком языке программирования Nim, что позволяет ему избегать обнаружения традиционными антивирусными программами. После установки NimDoor использует AppleScript для связи с сервером и асинхронных таймеров сна, что позволяет вредоносному ПО оставаться в системе и обходить меры безопасности. Термин "beaconing" в кибербезопасности относится к методу, при котором вредоносное программное обеспечение периодически связывается с командным сервером (C2), чтобы сообщить о своем присутствии и получить команды или передать данные.
Процесс атаки обычно начинается в Telegram: жертвы получают сообщения от фиктивного доверенного контакта с приглашением на Zoom-встречу. При нажатии на ссылку открывается поддельная страница Zoom с запросом на установку "обновления" для участия в звонке. В результате загружается вредоносный код NimDoor, который крадет разнообразную информацию:
- Историю просмотров и поисковые запросы;
- Файлы cookie и чаты в Telegram;
- Пароли из macOS Keychain.
"Это вызывает беспокойство в контексте развития киберугроз со стороны Северной Кореи, особенно в свете популяризации удаленной работы и ложного чувства безопасности среди пользователей Mac", — отметили в SentinelLabs.
Группы хакеров, поддерживаемые государством, из Северной Кореи, включая известную Lazarus Group, ранее уже крали средства в криптовалюте для финансирования своих операций. С 2021 по начало 2025 года они украли более $3,4 миллиарда, включая:
- Атака на биржу ByBit в феврале 2025 года: около $1,5 миллиарда в токенах;
- Взлом Ronin Bridge в марте 2022 года: около $600 миллионов;
- Атака на Poly Network в 2021 году: около $600 миллионов.
Эксперты рекомендуют всем пользователям macOS быть осторожными: не открывайте подозрительные ссылки, даже если они поступают от знакомых, и устанавливайте обновления только через официальные каналы, а не из всплывающих окон браузера.
