ลาซารัสเปิดปฏิบัติการมัลแวร์ใหม่ ‘Mach-O Man’ เจาะ MacOS เล็งทั้งองค์กรทั่วไปและธุรกิจคริปโต

นักวิจัยด้านความปลอดภัยพบความเคลื่อนไหวใหม่ของกลุ่มแฮ็กเกอร์เกาหลีเหนือ ‘ลาซารัส 그룹’ ที่เริ่มกระจายมัลแวร์ตัวใหม่บน ‘MacOS’ โดยครั้งนี้มุ่งเป้าทั้งบริษัทดั้งเดิมและธุรกิจคริปโตเคอร์เรนซี ทำให้วงการ ‘คริปโต’ ต้องจับตาความเสี่ยงรอบใหม่อย่างใกล้ชิด

เมื่อวันที่ 13 (เวลาท้องถิ่น) ‘โคอินเทเล그래프(Cointelegraph)’ รายงานว่า เมาโร เอล드리치(Mauro Eldritch) ผู้เชี่ยวชาญด้านความปลอดภัยและผู้ก่อตั้งบริษัทข่าวกรองภัยคุกคาม BCA Ltd เปิดเผยชุดเครื่องมือมัลแวร์ใหม่บน MacOS ที่ตั้งชื่อว่า ‘Mach-O Man’ มัลแวร์ชุดนี้ใช้กลยุทธ์วิศวกรรมสังคมแบบ ‘คลิก픽ซ์(ClickFix)’ หลอกให้เหยื่อเข้าร่วมประชุมปลอมผ่าน ‘ซูม(Zoom)’ หรือ ‘กูเกิล 미트(Google Meet)’ ก่อนล่อให้ผู้ใช้รันคำสั่งด้วยตัวเอง

นักวิจัยอธิบายว่า วิธีการดังกล่าวช่วยให้ลาซารัสหลบเลี่ยงระบบควบคุมความปลอดภัยแบบเดิมได้อย่างแนบเนียน สามารถขโมยข้อมูลยืนยันตัวตนและสิทธิ์เข้าถึงระบบขององค์กรโดยไม่ถูกตรวจจับ หากการโจมตีสำเร็จอาจนำไปสู่การยึดบัญชีใช้งาน การเข้าควบคุมโครงสร้างพื้นฐานโดยไม่ได้รับอนุญาต ความเสียหายทางการเงิน และการรั่วไหลของข้อมูลสำคัญในระดับองค์กร

ขั้นตอนสุดท้ายของแคมเปญนี้คือการปล่อยมัลแวร์ประเภท ‘ส틸러(Stealer)’ ที่ออกแบบมาเพื่อดูดข้อมูลสำคัญจากเครื่องของเหยื่อ โดยมุ่งเป้าไปที่ข้อมูลจากส่วนขยายเบราว์เซอร์ รายการล็อกอินที่บันทึกไว้ คุกกี้ รวมถึงรายการใน MacOS ‘คีย์เชน(Keychain)’ ข้อมูลที่เก็บได้จะถูกบีบอัดเป็นไฟล์แล้วส่งต่อไปยังผู้โจมตีผ่าน ‘เทเลแกรม(Telegram)’ จากนั้นสคริปต์ลบตัวเองจะใช้คำสั่ง rm บนระบบเพื่อลบหลักฐานการทำงานของมัลแวร์ออกจากเครื่อง

ลาซารัสถือเป็นกลุ่มที่ขึ้นชื่อเรื่องการโจมตี ‘คริปโต’ มูลค่าสูงมาโดยตลอด โดยถูกระบุว่าอยู่เบื้องหลังเหตุแฮ็กครั้งใหญ่หลายครั้ง หนึ่งในนั้นคือเหตุโจมตี ‘바이비트(Bybit)’ เมื่อปี 2025 ที่สร้างความเสียหายราว 1.4 พันล้านดอลลาร์ หรือประมาณ 2 조925억 원 ตามมูลค่าเงินดอลลาร์ นอกจากนี้เมื่อเดือน 4 มีรายงานว่ากลุ่มเดียวกันใช้ AI ช่วยออกแบบกลยุทธ์วิศวกรรมสังคม โจมตีบริการกระเป๋าเงิน ‘제리온(Zerion)’ สูบเงินคริปโตไปราว 1 แสนดอลลาร์

ผู้เชี่ยวชาญชี้ว่า แคมเปญล่าสุดนี้สะท้อนให้เห็นว่าลาซารัสไม่ได้เล็งเป้าหมายเฉพาะบริษัทที่เกิดมาพร้อมกับโลกคริปโตหรือ ‘คริปโต 네이티브’ อีกต่อไป แต่กำลังใช้สภาพแวดล้อมการทำงานทั่วไปอย่าง ‘ลิงก์เชิญประชุมออนไลน์’ เป็นช่องทางหลักในการเจาะระบบ ‘ความคิดเห็น’ ความเสี่ยงจึงไม่ได้จำกัดเฉพาะเว็บเทรดหรือผู้ให้บริการกระเป๋าเงินดิจิทัล องค์กรทั่วไปที่ใช้เครื่อง MacOS และเครื่องมือประชุมออนไลน์ก็จำเป็นต้องยกระดับมาตรการรักษาความปลอดภัยให้อยู่ในระดับเดียวกันด้วย