macos

Tin tức từ ChainCatcher, nhân viên liên quan của Meta, Spencer Barnett, đã đăng trên X rằng Meta đã ra mắt ứng dụng Meta AI cho Mac OS vào hôm nay.

ChainCatcher thông báo, theo xác nhận của Trung tâm An ninh Mạng Quốc gia Hà Lan (NCSC-NL), kẻ tấn công đang lợi dụng lỗ hổng xác thực nghiêm trọng CVE-2026-65400 trong tính năng chia sẻ màn hình macOS để tấn công các thiết bị Mac bị lộ ra Internet. Lỗ hổng này có điểm số CVSS là 9.8, kẻ tấn công không cần chứng thực hợp lệ để vượt qua xác thực và có được quyền Root của hệ thống.NCSC-NL cho biết đã nhận được nhiều báo cáo về việc khai thác chủ động, cổng 5900 của các thiết bị bị ảnh hưởng có thể truy cập trực tiếp từ Internet. Trong các trường hợp đã xác nhận, kẻ tấn công đều đã thành công trong việc đạt được quyền Root và triển khai chương trình khai thác Monero (XMR) trên các thiết bị Mac bị nhiễm. Apple đã sửa lỗ hổng này gần đây thông qua macOS Tahoe 26.6.1, Sequoia 15.7.9 và Sonoma 14.8.9. Security Affairs nhắc nhở, người dùng đã bật chia sẻ màn hình và chưa cập nhật hệ thống nên nhanh chóng thực hiện nâng cấp; nếu tạm thời không thể cập nhật, nên tắt tính năng chia sẻ màn hình để tránh làm lộ cổng 5900 ra Internet.

ChainCatcher thông báo, theo báo cáo của The Hacker News, Trung tâm An ninh mạng Quốc gia Hà Lan (NCSC) cảnh báo rằng một lỗ hổng xác thực nghiêm trọng gần đây đã được sửa chữa trong thành phần chia sẻ màn hình macOS của Apple (CVE-2026-65400, điểm CVSS 9.8) đã bị khai thác ngoài thực địa, kẻ tấn công không cần chứng thực hợp lệ để truy cập vào Mac bị lộ ra internet (cổng 5900) và cài đặt phần mềm khai thác Monero.Apple đã phát hành bản cập nhật khẩn cấp vào ngày 6 tháng 8 cùng với macOS Tahoe 26.6.1, Sequoia 15.7.9 và Sonoma 14.8.9 để sửa chữa lỗ hổng này, thông qua việc cải thiện quản lý trạng thái để củng cố xác thực chứng thực. NCSC xác nhận rằng trong nhiều cuộc tấn công, kẻ tấn công đã có được quyền root và triển khai phần mềm khai thác. Nhà nghiên cứu an ninh @osxreverser đã tiết lộ một lỗ hổng xác thực trước khác trong cùng một thành phần (cũng được sửa trong 26.6), chỉ cần IP mục tiêu là có thể vượt qua xác thực mật khẩu, không cần tên người dùng để khai thác.Theo công ty Calif, các nhà nghiên cứu chỉ mất 4 giờ để phát triển hai chương trình tấn công khả dụng từ AI, cho thấy AI đang rút ngắn đáng kể thời gian từ khi phát hiện lỗ hổng đến khi phát triển mã tấn công. Khuyến nghị người dùng ngay lập tức cập nhật hệ thống, nếu không thể cập nhật thì hãy tắt chức năng chia sẻ màn hình.

ChainCatcher thông báo, theo FinanceFeeds, các nhà nghiên cứu an ninh đã phát hiện một loại phần mềm độc hại đánh cắp thông tin nhắm vào người dùng macOS đang tấn công người dùng tiền điện tử. Phần mềm này có thể kiểm soát tài khoản người dùng và đánh cắp tài sản kỹ thuật số thông qua việc chiếm đoạt các phiên Telegram Desktop, đánh cắp mật khẩu và cơ sở dữ liệu ví. Hiện tại, các ví và ứng dụng bị ảnh hưởng bao gồm Exodus, Atomic, Electrum, Wasabi, Monero và các ví phần mềm khác.Phần mềm độc hại này có khả năng trích xuất thông tin nhạy cảm từ macOS Keychain, Safari Cookie, Apple Notes, Telegram Desktop và nhiều cơ sở dữ liệu liên quan đến ví tiền điện tử, bao gồm thông tin xác thực đăng nhập, tệp phiên đã xác thực, dữ liệu ví và thông tin mở rộng trình duyệt. Phân tích an ninh chỉ ra rằng mối nguy hiểm của chuỗi tấn công này không phụ thuộc vào một lỗ hổng ví đơn lẻ, mà là thông qua việc thu thập nhiều loại dữ liệu trên thiết bị, kết nối việc xâm nhập thiết bị, chiếm quyền tài khoản, bẻ khóa ví và đánh cắp cụm từ khôi phục. Trong đó, phiên Telegram Desktop trở thành mục tiêu chính.Kẻ tấn công có thể sao chép dữ liệu phiên địa phương đã xác thực của Telegram và khôi phục đăng nhập trên một thiết bị Mac khác mà không cần nhập số điện thoại, mã xác nhận hoặc mật khẩu xác thực hai yếu tố của Telegram. Điều này có nghĩa là 2FA của Telegram không thể cung cấp bảo vệ hoàn toàn trong kịch bản tấn công này, vì kẻ tấn công không thực hiện đăng nhập mới mà đang lợi dụng phiên địa phương đã được tin tưởng. Đối với người dùng tiền điện tử, rủi ro càng gia tăng. Do Telegram được sử dụng rộng rãi cho dịch vụ khách hàng của sàn giao dịch, cộng đồng dự án, giao dịch OTC và giao tiếp ví, một khi kẻ tấn công có quyền truy cập vào phiên của người dùng, họ có thể giả mạo danh tính của nạn nhân, đọc các cuộc trò chuyện riêng tư, định vị thông tin tài sản, thậm chí phát tán liên kết độc hại đến các liên hệ.

ChainCatcher tin tức, theo báo cáo của Cryptopolitan, một loại phần mềm độc hại mới có tên Reaper đang được phát tán qua các trang tải xuống giả mạo của các ứng dụng như WeChat và Miro, nhằm mục đích đánh cắp dữ liệu ví tiền điện tử, mật khẩu trình duyệt và tài liệu nhạy cảm. Phần mềm độc hại này lợi dụng AppleScript URL để kích hoạt trình chỉnh sửa kịch bản tích hợp sẵn của hệ thống, ẩn mã độc bằng nghệ thuật ASCII và khoảng trắng. Khi người dùng nhấp vào nút chạy, một cửa sổ giả mạo cập nhật bảo mật của Apple sẽ dụ dỗ nạn nhân nhập mật khẩu máy tính.Reaper nhắm vào các ứng dụng tiền điện tử trên máy tính để bàn như Ledger Live, Trezor Suite và Exodus, sửa đổi mã nội bộ của ví để chặn các giao dịch trong tương lai và chuyển hướng quỹ. Đồng thời, nó cũng đánh cắp các thông tin xác thực đã lưu từ Chrome, Firefox và Edge, và trích xuất các tệp .docx, .pdf, .wallet từ thư mục máy tính để bàn và tài liệu. Reaper còn cài đặt một cửa hậu ngụy trang thành thư mục cập nhật phần mềm Google để thực hiện các cuộc tấn công kéo dài. Các chuyên gia an ninh khuyên người dùng nên xác minh liên kết tải xuống, không nhập mật khẩu vào các cửa sổ bật lên bất ngờ, và nếu trang web yêu cầu mở trình chỉnh sửa kịch bản, nên ngay lập tức đóng trang.

According to market news, Microsoft's security research team has discovered that attackers have been inducing users to run malicious terminal commands by publishing fake macOS troubleshooting guides since the end of 2025, thereby stealing cryptocurrency wallets, iCloud data, and passwords saved in browsers.These fake guides are published on platforms such as Medium, Craft, and Squarespace, targeting common user issues like freeing up disk space or fixing system errors, and tricking users into copying and pasting malicious commands into the terminal, which automatically downloads and runs malware. This social engineering technique, named ClickFix, bypasses macOS's Gatekeeper security mechanism because the victims are actively executing the commands.The malware families involved include AMOS, Macsync, and SHub Stealer, which can steal cryptocurrency wallet keys from Exodus, Ledger, and Trezor, as well as usernames and passwords saved in Chrome and Firefox. In some cases, attackers also delete legitimate wallet applications and replace them with trojan versions. Apple has added a protective feature in macOS version 26.4 to prevent the pasting of potentially malicious commands.

According to CoinDesk, monitoring by CertiK reveals that the Lazarus Group is conducting an attack operation named Mach-O Man targeting executives in the fintech and cryptocurrency industries. This operation utilizes ClickFix social engineering techniques, sending fake online meeting invitations to lure victims into pasting repair commands on their Mac terminals, thereby gaining access to company and financial systems.CertiK researcher Natalie Newson stated that the Lazarus Group has stolen over $500 million through attacks on Drift and KelpDAO in the past two weeks. Mach-O Man is a modular macOS malware toolkit developed by the Chollima division of the Lazarus Group, capable of automatically deleting itself after use to evade detection.Additionally, attackers have implemented this attack by hijacking DeFi project domain names and replacing them with fake Cloudflare messages.

According to monitoring by the blockchain security firm SlowMist, MistEye has received threat intelligence from the community indicating that a malware named "MacSync Stealer" (v1.1.2) is active and highly destructive. This malware targets macOS users, stealing sensitive data including cryptocurrency wallets, browser credentials, system keychains, and infrastructure keys (SSH/AWS/K8s).The malware uses a spoofed AppleScript system dialog for phishing and displays fake error messages stating "unsupported" after data leakage. It has immediately synchronized this IOC (Indicator of Compromise) to clients. Do not execute unverified macOS scripts and remain highly vigilant against unexpected system password prompts. If an attack is suspected, immediate remediation is required: change all infrastructure credentials (SSH/AWS/K8s), invalidate any exposed keychains, and quickly migrate cryptocurrency assets to a secure wallet.

Bybit's Security Operations Center has discovered a multi-stage malware attack targeting macOS users of the search AI development tool Claude Code.Attackers used search engine optimization poisoning to push malicious domains to the top of Google search results, luring users into a counterfeit installation page, thereby stealing browser credentials, macOS keychain, Telegram sessions, VPN configurations, and cryptocurrency wallet information. Bybit stated that the malware can also establish persistent access through backdoor programs and attempts to target over 250 browser wallet extensions and multiple desktop wallet applications. This malicious infrastructure was identified on March 12, and relevant analysis, mitigation, and detection measures were completed on the same day.

OpenAI stated that during a recent industry-wide security incident, potential security issues were discovered in the third-party development library Axios that they use. After investigation, no evidence was found of user data being accessed, systems being compromised, or software being tampered with.Out of caution, OpenAI has initiated security reinforcement measures, focusing on strengthening the authentication mechanism of the macOS application to prevent malicious parties from distributing counterfeit official applications. OpenAI also reminds all macOS users to update to the latest version of the application as soon as possible, either through in-app updates or official channels, to reduce potential risks.

The Chief Information Security Officer of Slow Fog, 23pds, shared that the MacSync Stealer malware, active on the macOS platform, has shown significant evolution, with user assets already being stolen.The forwarded article mentions that it has upgraded from early low-threshold inducement methods like "dragging to terminal" and "ClickFix" to code signing and notarized Swift applications by Apple, significantly enhancing its concealment. Researchers found that the sample spreads in the form of a disk image named zk-call-messenger-installer-3.9.2-lts.dmg, disguising itself as instant messaging or utility applications to induce users to download. Unlike previous versions, the new version does not require any terminal operations from the user; instead, a built-in Swift helper pulls and executes encoded scripts from a remote server, completing the information theft process.The malware has completed code signing and has been notarized by Apple, with the developer team ID being GNJLS3UYZ4, and the relevant hash has not been revoked by Apple during analysis. This means it has a higher "trustworthiness" under the default macOS security mechanisms, making it easier to bypass user vigilance. The research also found that the DMG is unusually large, containing bait files such as LibreOffice-related PDFs to further reduce suspicion.Security researchers point out that such information-stealing Trojans often target browser data, account credentials, and cryptocurrency wallet information. As malware begins to systematically abuse Apple’s signing and notarization mechanisms, the risks of phishing and private key leakage for cryptocurrency users in the macOS environment are on the rise.

According to 23pds, the Chief Information Security Officer of Slow Fog Technology, a new variant of the information-stealing malware MacSync has emerged, successfully bypassing the macOS Gatekeeper security mechanism, resulting in the theft of user assets.This malware employs various techniques to evade detection, including file inflation, network connection validation, and self-destruct scripts after execution. Attackers can use this software to steal sensitive data from victims, such as iCloud keychains, browser passwords, and cryptocurrency wallets. Users should remain vigilant, avoid downloading software from unknown sources, promptly update operating system security patches, and take additional measures to protect the security of their crypto assets.

ChainCatcher News: Recently, the Cybersecurity Threat and Vulnerability Information Sharing Platform (NVDB) of the Ministry of Industry and Information Technology detected a high-risk out-of-bounds write vulnerability in Apple's iOS/iPadOS/macOS, which has been exploited for cyber attacks.iOS/iPadOS/macOS is an operating system developed by Apple Inc. Due to an out-of-bounds write vulnerability in its ImageIO framework, processing malicious image files may lead to memory corruption.

ChainCatcher news, according to Forbes, security company ESET has just released its latest threat report, which examines the threat landscape trends from June to November 2024. The number of password theft attacks targeting cryptocurrency wallets has increased, with the most significant rise occurring among macOS users.The report states: "According to ESET's telemetry data for the second half of 2024, the number of password-stealing software across multiple platforms (especially Windows, macOS, and Android) has increased," but compared to the first half of the year, the detection of password-stealing software targeting cryptocurrency wallets on macOS has more than doubled. Meanwhile, the number of password-stealing software on the Windows platform grew by 56%, while financial threats on the Android platform, including password-stealing malware, increased by 20%.ESET's analysis shows that the number of password-stealing software targeting the macOS platform (especially those related to cryptocurrency wallet credentials) surged by 127%. Security researchers noted: "Although these threats cannot be simply classified as password-stealing software just because they have broader functionalities, they do reveal a significant upward trend in password theft activities on the macOS platform." From a geographical perspective, ESET's analysis indicates that attacks on Bitcoin and other cryptocurrencies targeting macOS are mostly aimed at the United States, followed by Italy, China, Spain, and Japan.

ChainCatcher message, Slow Mist's Chief Information Security Officer 23pds posted a reminder that recently, the well-known cryptocurrency theft Trojan MacOS Stealer has been suddenly open-sourced.Previously, its attack source code was sold for 1 BTC, and now the open-sourcing means that more malicious attackers can easily access this tool. This not only potentially allows attackers to have "one tool per person" for attacks but may also give rise to more covert and complex attack methods, posing greater challenges to the security of cryptocurrency assets.

ChainCatcher news, according to Forbes, researchers have confirmed that a malware attack targeting macOS users has been active for four months. This attack uses malware disguised as a video conferencing application to steal passwords from Keychain, as well as session cookies and cryptocurrency wallet information from browsers like Google Chrome, Brave, and Opera.According to Tara Gould from Cado Security Labs, the attackers use AI-generated content to create fake websites and social media accounts, posing as trustworthy businesses. Victims are often contacted through platforms like Telegram, discussing business opportunities related to blockchain or cryptocurrency. Once the file is installed, users are prompted to enter their macOS password, further facilitating data theft.Security experts advise users to remain vigilant, especially regarding unfamiliar links related to business. Using protective tools like Intego VirusBarrier can effectively defend against such threats.

According to ChainCatcher news reported by Cointelegraph, North Korean hackers appear to have developed malware that can evade Apple's security checks. Researchers at Jamf Threat Labs, who focus on Apple, indicate that these applications seem to be experimental. This is the first time they have seen such technology used to infiltrate Apple's macOS operating system, but it does not run on the latest systems.Researchers found that Microsoft's VirusTotal online scanning service reported these applications as harmless, but they are actually malicious. Variants of these applications are written in Go and Python, utilizing Google Flutter applications. Flutter is an open-source development toolkit used for creating cross-platform applications.Out of six malicious applications, five are signed with developer accounts and have been temporarily notarized by Apple. Researchers wrote, "The domains and techniques in the malware are very similar to those used in other North Korean hacker malware, with indications that the malware was once signed and even temporarily passed Apple's notarization process."

ChainCatcher news, according to IT Home, developer Pedro Vieito posted an update on the Thread platform 2 days ago, stating that the macOS version of the ChatGPT app stores user conversations in plain text. OpenAI responded today that it has updated its app and encrypted the chat logs stored on Mac devices.According to Vieito's analysis, since conversations are stored in plain text outside the sandbox, this also means that conversations can be accessed by other applications, processes, or even malware running on the Mac without the user's knowledge.

ChainCatcher news, according to OpenAI's announcement, the ChatGPT desktop application is now available for all macOS users. Users can quickly access ChatGPT using the shortcut Option + Space, making it easier to chat, handle emails, take screenshots, and manage other content on the screen.In addition, OpenAI has launched a new feature that allows users to search through past conversation history. Users can also quickly and easily query any information on their computers.

ChainCatcher message, Kaspersky Labs has discovered new malware entering macOS users' computers through pirated applications, stealing users' cryptocurrency wallets. This malware targets macOS versions 13.6 and above, allowing hackers to access the user's computer security password when the user inputs their computer security password into the activator box; when the user attempts to open the cryptocurrency wallet compromised by the malware, hackers can access the private keys of the cryptocurrency wallet.Kaspersky Labs reminds cryptocurrency users that they can avoid the ongoing malware activities by using trusted websites, keeping their computer operating systems updated, and employing security solutions.