Die mit Nordkorea in Verbindung stehende Hackergruppe BlueNoroff nutzt gefälschte Zoom- und Microsoft-Teams-Meetings, um Kryptowährungsnutzer zu profilieren, bevor sie Malware ausliefert.
Das Cybersicherheitsunternehmen JUMPSEC erklärte, es habe Quellcode aus einem aktiven Phishing-Kit wiederhergestellt und analysiert, nachdem seine Betreiber in Live-Infrastruktur JavaScript-Source-Maps offengelegt hatten. Die Dateien zeigten separate Lockmittel für Zoom und Teams, Wallet-Scanning-Tools, Bedienersteuerungen sowie Malware-Übertragungswege für Windows und macOS.
Der Angriff beginnt oft über ein Telegram-Konto, dem das Ziel bereits vertraut. Die Angreifer übernehmen Konten, die zu Krypto-Kontakten gehören, und senden dann eine Calendly-Einladung, die zu einer Schein-„Lookalike“-Meeting-Domain führt. JUMPSEC beschrieb das System als eine wiederholbare „Victim Pipeline“, weil eine gestohlene Telegram-Sitzung den Angreifern helfen kann, die nächste Gruppe von Zielen zu kontaktieren.
Die Phishing-Seite beginnt mit dem Scannen des Browsers, sobald ein Nutzer die gefälschte Besprechung aufruft. Sie sucht nach Ethereum-Wallet-Verbindungen über EIP-6963 und ältere Browsermethoden. Außerdem prüft sie Nicht-EVM-Wallets, einschließlich Solana-Tools. Die Ergebnisse werden an ein Operator-Panel übermittelt, ohne dass das Opfer alarmiert wird. So können die Angreifer Wallets identifizieren und bevor sie die nächste Stufe ausspielen, höherwertige Ziele auswählen.
Unter Windows listet das Implantat außerdem Erweiterungs-IDs über Varianten von Chrome, Edge, Brave, Opera, Vivaldi und Firefox auf. Operatoren können diese IDs mit bekannten Wallet-Erweiterungen wie MetaMask vergleichen. JUMPSEC bezeichnete dies als ein System, das Wallets „vor der Malware-Übermittlung“ profiliert. Die Methode unterscheidet sich von breit angelegten Phishing-Kampagnen, weil die Angreifer Wallet-Daten sammeln, bevor sie entscheiden, wie weit sie den Einbruch vorantreiben.
Die Erkenntnisse erweitern frühere Recherchen zu BlueNoroffs gefälschten Besprechungs-Abläufen. Im April berichtete Arctic Wolf über mehr als 80 Domains, die Zoom und Teams zum Verwechseln ähnlich sind, und identifizierte 100 zusätzliche Ziele, deren Inhalte in der Infrastruktur der Angreifer auftauchten. Laut der Meldung arbeiteten 80 % der identifizierten Ziele im Bereich Krypto, Blockchain-Finanzierung oder verwandte Investment-Sektoren, während Gründer und CEOs 45 % ausmachten.
Nordkoreanische Angreifer nutzten bereits kompromittierte Telegram-Konten, fälschten Besprechungseinladungen und angebliche Software-Updates, um Crypto-Manager ins Visier zu nehmen. In einem weiteren Bericht von crypto.news wird außerdem eine damit zusammenhängende macOS-Kampagne beschrieben, bei der die Opfer aufgefordert wurden, Befehle während gefälschter Anrufe auszuführen. Frühere Berichterstattung über die Malware NimDoor verknüpfte außerdem gefälschte Zoom-Updates mit Diebstahlsversuchen gegen Browser-Zugangsdaten, Wallet-Daten und Telegram-Dateien.
Das neueste Set gibt Operatoren direkten Einfluss auf das Tempo jeder Besprechung und den Zeitpunkt der Malware-Eingabeaufforderung. JUMPSEC riet Organisationen, Besprechungslinks von vertrauenswürdigen Konten mit Vorsicht zu behandeln, da das Konto des Absenders möglicherweise bereits kompromittiert ist. Crypto-Teams können ungewöhnliche Einladungen über einen anderen Kanal verifizieren, Befehle oder Updates vermeiden, die während der Calls präsentiert werden, exponierte Telegram-Sitzungen widerrufen und jedes Gerät isolieren, das das angeforderte Script ausgeführt hat. Teams sollten außerdem PowerShell-Aktivitäten, Defender-Ausnahmen, Keychain-Zugriffe sowie neue Telegram-Anmeldungen nach jedem verdächtigen Anruf überprüfen. Ein alleiniger Passwort-Reset kann gestohlene Sitzungen oder bereits laufende Malware, die sich auf den betroffenen Systemen befindet, möglicherweise nicht entfernen.
#USPausesIranStrikesSecondNight