North Korean Hackers Exploit Apple Devices with NimDoor Malware

Binance News · 2025-07-07T07:40:18.000Z

According to ShibDaily, North Korean hackers have launched a new cyberattack campaign targeting cryptocurrency companies by deploying a sophisticated malware strain known as NimDoor. This malware is designed to infiltrate Apple devices, bypassing built-in memory protections to extract sensitive data from crypto wallets and browsers. The attack begins with social engineering tactics on platforms like Telegram, where hackers pose as trusted contacts to engage victims in conversation. They then invite the target to a fake Zoom meeting, disguised as a Google Meet session, and send a file that mimics a legitimate Zoom update. This file serves as the delivery method for the malicious payload. Once executed, the malware installs NimDoor on the victim's device, which proceeds to harvest sensitive information, specifically targeting cryptocurrency wallets and stored browser credentials. Researchers at cybersecurity firm SentinelLabs uncovered this new tactic, noting that the use of the Nim programming language sets this malware apart. Nim-compiled binaries are rarely seen targeting macOS, making the malware less recognizable to conventional security tools and potentially more difficult to analyze and detect. The researchers observed that North Korean threat actors have previously experimented with programming languages like Go and Rust, but the shift toward Nim reflects a strategic advantage due to its cross-platform capabilities. This allows the same codebase to run on Windows, Linux, and macOS without modification, increasing the efficiency and reach of their attacks. The malicious payload includes a credential-stealing component engineered to discreetly harvest browser and system-level data, bundle the information, and transmit it to the attackers. Additionally, the researchers identified a script within the malware that targets Telegram by extracting both its encrypted local database and the corresponding decryption keys. Notably, the malware employs a delayed activation mechanism, waiting ten minutes before executing its operations in an apparent effort to evade security scanners.

Secondo ShibDaily, gli hacker nordcoreani hanno lanciato una nuova campagna di attacco informatico mirata alle aziende di criptovalute, utilizzando un sofisticato ceppo di malware noto come NimDoor. Questo malware è progettato per infiltrarsi nei dispositivi Apple, eludendo le protezioni della memoria integrate per estrarre dati sensibili dai portafogli crypto e dai browser.
L'attacco inizia con tattiche di ingegneria sociale su piattaforme come Telegram, dove gli hacker si spacciano per contatti fidati per coinvolgere le vittime in conversazione. Poi invitano la vittima a una finta riunione Zoom, camuffata da sessione Google Meet, e inviano un file che imita un aggiornamento legittimo di Zoom. Questo file funge da metodo di consegna per il payload maligno. Una volta eseguito, il malware installa NimDoor sul dispositivo della vittima, che procede a raccogliere informazioni sensibili, mirate specificamente ai portafogli di criptovalute e alle credenziali memorizzate nel browser.
I ricercatori della società di cyber sicurezza SentinelLabs hanno scoperto questa nuova tattica, notando che l'uso del linguaggio di programmazione Nim distingue questo malware. I file binari compilati in Nim sono raramente visti mirare a macOS, rendendo il malware meno riconoscibile per gli strumenti di sicurezza convenzionali e potenzialmente più difficile da analizzare e rilevare. I ricercatori hanno osservato che gli attori delle minacce nordcoreani hanno precedentemente sperimentato con linguaggi di programmazione come Go e Rust, ma il passaggio a Nim riflette un vantaggio strategico grazie alle sue capacità cross-platform. Questo consente alla stessa base di codice di funzionare su Windows, Linux e macOS senza modifiche, aumentando l'efficienza e la portata dei loro attacchi.
Il payload maligno include un componente di furto di credenziali progettato per raccogliere in modo discreto dati a livello di browser e di sistema, raggruppare le informazioni e trasmetterle agli attaccanti. Inoltre, i ricercatori hanno identificato uno script all'interno del malware che prende di mira Telegram estraendo sia il suo database locale crittografato che le chiavi di decrittazione corrispondenti. È importante notare che il malware utilizza un meccanismo di attivazione ritardata, aspettando dieci minuti prima di eseguire le sue operazioni in un apparente sforzo per eludere gli scanner di sicurezza.

Gli hacker nordcoreani sfruttano i dispositivi Apple con il malware NimDoor

Ultime notizie