Lazarus ataca macOS con videollamadas falsas: la campaña del malware 'Mach-O Man'

El Grupo Lazarus, el colectivo de hacking patrocinado por el estado norcoreano, ha vuelto a demostrar su capacidad de innovación y precisión. En una nueva campaña que ha causado revuelo en la comunidad de ciberseguridad, el grupo está atacando a usuarios de macOS con una sofisticada combinación de ingeniería social y malware personalizado. Bautizada como 'Mach-O Man' por los investigadores, el ataque aprovecha la ubicuidad de las herramientas de videoconferencia, específicamente Zoom y Google Meet, para entregar un payload sigiloso diseñado para extraer datos sensibles y mantener acceso persistente.

La cadena de ataque comienza con un correo electrónico de spear-phishing altamente dirigido. A diferencia de los intentos de phishing genéricos, estos correos están meticulosamente elaborados para parecer invitaciones legítimas a reuniones. La dirección del remitente a menudo se falsifica para imitar a un colega o socio comercial de confianza, y la línea de asunto hace referencia a un proyecto u oportunidad de inversión específica. Este nivel de personalización es un sello distintivo de las operaciones de Lazarus, que históricamente han atacado exchanges de criptomonedas, instituciones financieras y empresas de tecnología.

Cuando el destinatario hace clic en el enlace, es dirigido a una página de aterrizaje que imita fielmente la interfaz oficial de Zoom o Google Meet. Esta página no es una copia estática; es un front funcional que intenta iniciar una videollamada. Sin embargo, antes de que la llamada pueda conectarse, se le pide al usuario que descargue una 'actualización necesaria' o un 'plugin de seguridad'. Este archivo, a menudo llamado 'Zoom_Update.pkg' o 'Meet_Plugin.dmg', es el malware Mach-O Man.

Una vez ejecutado, el malware realiza una serie de acciones diseñadas para evadir la detección y establecer un punto de apoyo. Verifica la presencia de software antivirus, máquinas virtuales y herramientas de depuración, indicadores comunes de un entorno sandbox. Si detecta alguno de estos, termina su ejecución para evitar el análisis. Si el entorno se considera seguro, procede a instalar una puerta trasera persistente.

El malware Mach-O Man es notable por su arquitectura modular. El payload inicial es un dropper que descarga componentes adicionales de un servidor de comando y control (C2). Estos componentes incluyen un keylogger, una herramienta de captura de pantalla y un ladrón de archivos que apunta a credenciales de navegador, billeteras de criptomonedas y configuraciones de VPN corporativas. El malware se comunica con el servidor C2 utilizando tráfico HTTPS cifrado, imitando el tráfico web legítimo para mezclarse con la actividad normal de la red.

Esta campaña subraya un cambio crítico en la metodología operativa de Lazarus. Históricamente, el grupo se ha asociado con ataques basados en Windows, a menudo dirigidos al sector financiero. El giro hacia macOS refleja una tendencia más amplia de los grupos APT de expandir su arsenal para incluir capacidades multiplataforma. También destaca el creciente valor de los usuarios de macOS como objetivos, particularmente en los sectores tecnológico y de criptomonedas, donde las MacBooks son predominantes.

Para los equipos de seguridad empresarial, este ataque presenta varios desafíos. En primer lugar, el uso de plataformas de confianza como Zoom y Google Meet como vector explota la actitud de 'confianza por defecto' que muchos empleados tienen hacia estas herramientas. En segundo lugar, la capacidad del malware para evadir la detección a través de comprobaciones de entorno y comunicación cifrada dificulta su identificación sin soluciones avanzadas de detección y respuesta de endpoints (EDR). En tercer lugar, la orientación de la campaña hacia billeteras de criptomonedas y credenciales VPN representa una amenaza directa para los activos organizacionales y la propiedad intelectual.

Para mitigar el riesgo, las organizaciones deben implementar una estrategia de defensa de múltiples capas. Esto incluye implementar soluciones EDR capaces de detectar comportamientos anómalos en endpoints macOS, aplicar listas blancas de aplicaciones estrictas para evitar la ejecución de software no autorizado y realizar capacitaciones periódicas de concienciación en seguridad que aborden específicamente los riesgos de la ingeniería social a través de plataformas de videoconferencia. Además, la monitorización de la red debe centrarse en detectar patrones de tráfico HTTPS inusuales que puedan indicar comunicación C2.

La campaña 'Mach-O Man' del Grupo Lazarus es un recordatorio contundente de que ninguna plataforma es inmune a las amenazas cibernéticas sofisticadas. A medida que los atacantes continúan refinando sus tácticas, la comunidad de ciberseguridad debe permanecer vigilante, compartiendo inteligencia y adaptando las defensas para contrarrestar estas amenazas en evolución. La era de asumir que macOS es inherentemente seguro ha terminado; ahora es un objetivo principal en la mira de los hackers patrocinados por estados.