La aparición de Mach-O Man, un nuevo kit de malware nativo para macOS atribuido al colección norcoreano Lazarus, está encendiendo las alarmas en el ecosistema de criptomonedas y fintech a nivel universal, con impacto directo para empresas europeas y españolas que dependen del entorno Apple en sus áreas ejecutivas y técnicas. La campaña combina un enfoque muy pulido de ingeniería social con herramientas de robo de credenciales y comunicación a fondos digitales, lo que convierte una simple videollamada de trabajo en un posible punto de entrada a la infraestructura corporativa.
Según varios informes de equipos de ciberseguridad, incluyendo a CertiK, el Quetzal Team de Bitso y analistas independientes, la operación Mach-O Man forma parte de una logística financiera sostenida por el Estado norcoreano, orientada a drenar haber del sector cripto, DeFi y fintech. En cuestión de días, los ataques vinculados a Lazarus habrían facilitado el desvío de cientos de millones de dólares, lo que refuerza la idea de una ataque coordinada más que de incidentes aislados.
Quién está detrás de Mach-O Man y qué objetivos persigue
Las distintas investigaciones coinciden en atribuir Mach-O Man al Grupo Lazarus, incluso conocido como Famous Chollima, una de las unidades de ciberoperaciones más activas y agresivas vinculadas a Corea del Norte. Este colección acumula, según estimaciones del sector, un trofeo cercano a los 6.700 millones de dólares en robos de criptomonedas desde 2017, incluyendo sonados ataques a plataformas como KelpDAO, Drift, Bybit o Zerion.
De acuerdo con los analistas, la campaña flagrante se centra en ejecutivos, desarrolladores y responsables de producto que operan en fintech, Web3, exchanges y proyectos DeFi, muchos de ellos con una válido presencia en Europa. Son perfiles que suelen trabajar con equipos Mac, con comunicación directo a wallets corporativas, paneles de diligencia de solvencia, infraestructuras SaaS y herramientas internas críticas.
Investigadoras como Natalie Newson, de CertiK, han subrayado que el ritmo de actividad de Lazarus en los últimos meses es inusualmente stop incluso para un actor estatal. Robos a gran escalera contra protocolos como Drift y KelpDAO, combinados con el despliegue de un nuevo kit progresista para macOS, apuntan a una operación financiera estructurada, financiada y planificada con criterios casi institucionales, más propia de un trasto estatal que de una cuadrilla improvisada.
Para las empresas europeas, el mensaje es claro: Lazarus ya no se limita a vulnerabilidades puramente técnicas en smart contracts, sino que amplía su foco a las personas que controlan los flujos de haber digital. Ejecutivos en Madrid, Barcelona, Lisboa, Berlín o Ámsterdam que gestionan tesorerías cripto, custodias internas o integraciones DeFi forman parte natural de ese objetivo.
Qué es exactamente Mach-O Man y cómo está construido
Mach-O Man se describe como un kit de malware modular escrito en Go y compilado como binarios Mach-O, el formato nativo de los ejecutables en macOS, tanto en arquitecturas Intel como en Apple Silicon. Este diseño facilita que los componentes se integren de forma natural en el ecosistema Apple, sorteando muchas de las barreras habituales que bloquean ejecutables menos adaptados.
El kit trabaja por etapas encadenadas, cada una con un cometido específico: desde la descarga original de binarios hasta el robo de datos y su exfiltración. Esta estructura por módulos permite a los operadores de Lazarus y a otros grupos que hayan adoptivo la utensilio ajustar la campaña según el perfil de la víctima o el objetivo del ataque.
Entre sus instrumentos más llamativos está la capacidad para interactuar con el argolla de macOS (Keychain), donde el sistema almacena contraseñas, claves privadas y otros secretos delicados. Además, los módulos del malware enumeran y analizan extensiones de navegadores como Chrome, Safari, Firefox, Brave, Opera o Vivaldi, lo que abre la puerta al robo de cookies de sesión, tokens de comunicación y credenciales guardadas.
Los disección han detectado incluso errores de programación adentro de algunos componentes, como un bug que provoca un onda infinito en un binario de perfilado, generando picos anómalos de consumo de CPU. Ese equivocación puede servir como indicio de infección activa, pero incluso demuestra que el kit se ha desplegado con cierta prisa, quizás al calor de una campaña que se quería poner en marcha cuanto ayer para servirse oportunidades concretas de robo.
La técnica ClickFix: así funciona el patraña en las videollamadas
Uno de los aspectos más preocupantes de Mach-O Man no es tanto su código como la forma en que llega al ordenador de la víctima. En circunscripción de explotar una vulnerabilidad técnica clásica, la campaña se apoya en una técnica de ingeniería social conocida como ClickFix, que búsqueda que el propio afortunado ejecute el comando zorro creyendo que se tráfico de un paso de soporte rutinario.
El ataque suele iniciarse con un mensaje de Telegram que invita a una reunión urgente por Zoom, Microsoft Teams o Google Meet. A menudo, el contacto parece verdadero porque procede de cuentas comprometidas de colegas del sector, socios comerciales o técnicos de confianza. En entornos donde las videollamadas de última hora son parte del día a día, este tipo de invitación no genera sospechas inmediatas.
Al seguir el enlace, la víctima aterriza en un sitio web ficticio pero muy convincente, con dominios que pueden rememorar a servicios reales (por ejemplo, variaciones de nombres de plataformas de videollamadas o mensajes aparentemente oficiales de servicios como Cloudflare). La página muestra un error de conexión o compatibilidad y sugiere un remedio sencillo: copiar y pegar un comando en la Terminal de macOS.
Ese comando, que se presenta como una simple corrección técnica, descarga y ejecuta el stager original del malware, asiduamente un binario como teamsSDK.bin vía curl. Como es el propio afortunado quien garrocha la orden desde la Terminal, sistemas como Gatekeeper no bloquean la ejecución al considerarla una movimiento expresamente autorizada, lo que deja a muchas defensas tradicionales fuera de ocio.
En algunos casos documentados, los atacantes han llegado incluso a secuestrar dominios de proyectos DeFi para reemplazar sus páginas legítimas por un ficticio mensaje de Cloudflare que pide introducir un comando de comprobación. El patrón es el mismo: una supuesta comprobación técnica que, en existencia, abre la puerta al compromiso del equipo.
Las cuatro etapas del malware: de la infección al robo de fondos
Una vez que el afortunado ha caído en la trampa de ClickFix y ha ejecutado el comando, Mach-O Man despliega un flujo que, en términos generales, puede describirse en cuatro grandes fases, identificadas en gran medida por el Quetzal Team de Bitso y corroboradas por otros investigadores.
En la primera etapa, el stager descarga y garrocha binarios adicionales escritos en Go y firmados con un certificado ex profeso para disimular legalidad. El sistema llega a presentar al afortunado un paquete de aplicación ficticio, que solicita la contraseña de macOS. Un detalle que han destacado los analistas es que la ventana de inicio de sesión puede “temblar” en los dos primeros intentos y aceptar la credencial en el tercero, un pequeño truco de interfaz pensado para aumentar la sensación de normalidad.
La segunda período corresponde a un módulo de perfilado del sistema, encargado de compendiar información sobre la máquina: nombre de host, UUID, tipo de CPU, traducción del sistema operante, procesos que se están ejecutando, configuración de red y extensiones activas en los principales navegadores. Esta información permite a los atacantes calibrar el valía del objetivo y adaptar el resto de la operación.
La tercera etapa introduce un mecanismo de persistencia en el sistema. El malware coloca un archivo renombrado como Onedrive adentro de una ruta oculta, alojada en una carpeta denominada “Antivirus Service” o similar, y registra un LaunchAgent con nombre com.onedrive.launcher.plist. De este modo, el componente zorro se ejecuta de forma cibernética cada vez que el afortunado inicia sesión, manteniendo el comunicación en segundo plano.
Finalmente, la cuarta período activa un stealer de datos identificado como macrasv2, especializado en cosechar información sensible: bases de datos SQLite con credenciales del navegador, cookies de sesión, extensiones de wallets, entradas del argolla de macOS y, en normal, cualquier apunte que pueda proporcionar comunicación inmediato a cuentas financieras y plataformas internas. Todo ese contenido se empaqueta en un archivo comprimido y se exfiltra a través de la API de bots de Telegram.
Telegram como canal de exfiltración y autodestrucción del malware
Una de las particularidades de Mach-O Man es el uso intensivo de Telegram como canal de mando y exfiltración. El stealer envía los datos robados mediante peticiones a la API de bots de la plataforma, lo que le permite ocultar parte de su tráfico en un servicio ampliamente utilizado y, a primera perspectiva, verdadero adentro de muchas organizaciones.
Los investigadores han identificado un token de bot de Telegram incrustado en el binario, un descuido operante considerable que podría permitir a los equipos defensivos monitorizar el canal o incluso interrumpir parte de la comunicación maliciosa. Aun así, mientras el bot esté operante, el flujo de datos robados cerca de los atacantes se mantiene activo y relativamente discreto.
Otra característica destacada es la capacidad de autodestrucción del malware. Tras completar sus tareas principales, muchos componentes de Mach-O Man ejecutan órdenes de borrado usando comandos como rm, eliminando rastros locales de la infección. Cuando la víctima percibe anomalías o detecta la pérdida de fondos, a menudo el malware ya no está presente, lo que complica el disección forense y la reconstrucción exacta del incidente.
Este enfoque encaja con una logística de “sorpresa rápido y noble”: entrar, extraer credenciales y desaparecer ayer de que las alarmas se disparen. Para equipos de seguridad europeos que gestionan flotas de Mac en bancos digitales, neobancos o startups cripto, la abandono de artefactos evidentes en el dispositivo dificulta seguir el señal técnico del ataque más allá de los logs de red y algunas huellas residuales.
El resultado práctico es que muchas empresas afectadas podrían ni siquiera conocer aún que han sido víctimas de Mach-O Man. Y, aunque lo sospechen, no siempre resultará sencillo determinar qué variación ha actuado ni qué masa de información se ha gastado comprometido, lo que añade incertidumbre a la respuesta de incidentes.
Relación con grandes robos y contexto para Europa y España
La operación Mach-O Man no aparece en el hueco. Se suma a una prisión de ataques atribuidos a Lazarus contra el ecosistema cripto y fintech a escalera universal, que incluye robos masivos a protocolos DeFi, exchanges centralizados y proveedores de wallets. Casos como el hackeo de KelpDAO, el exploit a Drift o el ataque a Bybit por valía de 1.400 millones de dólares ilustran la magnitud de los objetivos.
En paralelo, incidentes más “pequeños” en cifras, como el robo de aproximadamente de 100.000 dólares a Zerion mediante ingeniería social apoyada en IA, muestran que el colección se mueve con comodidad tanto en operaciones de stop perfil como en campañas más discretas pero repetidas. Mach-O Man encaja en esta segunda categoría, orientada a comprometer las máquinas de individuos esencia en circunscripción de atacar directamente la infraestructura de los protocolos.
Para el entorno europeo, donde se han multiplicado las empresas de servicios cripto regulados, custodios institucionales y startups fintech, el peligro apunta directamente a equipos de dirección, compliance, gerencia y crecimiento de negocio. En España, proyectos con sede en hubs tecnológicos como Madrid, Barcelona, Valencia o Málaga, que manejan integraciones DeFi y grandes volúmenes de criptoactivos, encajan de saciado en el perfil buscado por estas campañas.
El disección de los investigadores sugiere que cualquier estructura con macOS en puestos de stop privilegio y exposición a activos digitales debe contemplar Mach-O Man en sus escenarios de amenaza. No se tráfico solo de exchanges o protocolos nativos Web3: bancos tradicionales con brazos de banca digital, gestores de fondos que experimentan con tokenización y empresas de pagos con servicios cripto incluso figuran entre los posibles objetivos.
Este contexto obliga a replantear el enfoque clásico de seguridad centrado en el perímetro técnico. La frontera crítica ya no está solo en el smart contract o el servidor, sino en la mesa del ejecutor que acepta una videollamada urgente desde su Mac. En un entorno en el que las decisiones se toman deprisa y las agendas están llenas de reuniones remotas, ese vector puede resultar tan eficaz como cualquier vulnerabilidad de software.
Recomendaciones prácticas para empresas cripto y fintech en macOS
Los equipos de seguridad que han analizado Mach-O Man han publicado una serie de medidas defensivas que pueden aplicarse de forma razonablemente rápida, especialmente en organizaciones europeas con macOS desplegado de forma masiva entre directivos y personal técnico.
En primer circunscripción, se recomienda auditar los directorios de LaunchAgents en búsqueda de entradas sospechosas, en particular aquellas relacionadas con nombres como com.onedrive.launcher.plist o procesos OneDrive ejecutándose desde rutas poco habituales, como carpetas ocultas bajo denominaciones del tipo “Antivirus Service”. Esta comprobación puede integrarse en herramientas de diligencia de flota o scripts de comprobación periódicos.
Otra medida esencia es cercar o monitorizar el tráfico saliente cerca de la API de Telegram Bot desde entornos corporativos donde ese uso no sea necesario a nivel operante. Aunque no siempre será viable prohibir por completo Telegram, sí puede establecerse un control más fino sobre comunicaciones relacionadas específicamente con bots, reduciendo así la superficie de exfiltración.
En el plano de la concienciación interna, los expertos insisten en que nunca se deben pegar comandos de Terminal copiados desde páginas web o enlaces de reuniones no verificadas. Esta recomendación, que puede parecer básica, requiere de formación continua, ejemplos prácticos y simulacros, especialmente en plantillas que trabajan bajo presión y con agendas llenas de videollamadas.
También se aconseja corroborar por un canal marginal cualquier invitación urgente a reuniones que impliquen pasos técnicos inusuales: si un supuesto colega pide ejecutar un comando en la Terminal, conviene confirmar por otra vía (correo corporativo verificado, correo interna, convocatoria telefónica) ayer de proceder. Este tipo de doble firmeza puede parecer engorroso, pero reduce drásticamente las posibilidades de éxito de campañas como ClickFix.
Por postrer, las organizaciones con presencia en España y la Unión Europea deberían integrar indicadores de compromiso asociados a Mach-O Man en sus herramientas de detección: hashes de los binarios identificados, direcciones IP relacionadas (como las reportadas en los disección iniciales), patrones de comandos sospechosos en Terminal y alertas de picos inusuales de CPU en procesos desconocidos. Aunque el malware intente autodestruirse, estos rastros pueden ayudar a detectar ataques en curso o intentos fallidos.
La ataque Mach-O Man del Grupo Lazarus muestra hasta qué punto la combinación de malware modular, ingeniería social y canales de exfiltración encubiertos puede convertir una videollamada de trabajo en el inicio de una brecha crítica. Para el ecosistema cripto y fintech europeo, y muy especialmente para las empresas españolas que se apoyan en macOS en sus puestos de osadía, el liza pasa por elevar el tabla de controles técnicos y, sobre todo, aumentar la civilización interna: desconfiar de los comandos improvisados, validar las urgencias por más de un canal y tratar cualquier enlace de reunión sospechoso como lo que ya es en la habilidad, un posible intento de pincharse credenciales, sistemas y billeteras digitales.
