Einführung
Die mit Nordkorea verbundene Hackergruppe BlueNoroff nutzt gefälschte Zoom– und Microsoft Teams-Meetings, um Kryptowährungsnutzer zu profilieren, bevor sie Malware ausliefern. Das Cybersicherheitsunternehmen JUMPSEC berichtete, dass es den Quellcode eines aktiven Phishing-Kits wiederhergestellt und analysiert hat, nachdem die Betreiber JavaScript-Quellkarten auf einer Live-Infrastruktur offengelegt hatten.
Angriffsmechanismus
Die Dateien zeigten separate Fallen für Zoom und Teams, Wallet-Scanning-Tools, Betreiberkontrollen und Malware-Lieferwege für Windows und macOS.
Der Angriff beginnt oft über ein Telegram-Konto, dem das Ziel bereits vertraut. Die Hacker übernehmen Konten von Krypto-Kontakten und senden dann eine Calendly-Einladung, die zu einer ähnlichen Meeting-Domain führt. JUMPSEC beschrieb das System als eine wiederholbare Opferpipeline, da eine gestohlene Telegram-Sitzung den Angreifern helfen kann, die nächste Gruppe von Zielen zu kontaktieren.
Phishing-Seite und Wallet-Profilierung
Die Phishing-Seite beginnt, den Browser zu scannen, sobald ein Benutzer dem gefälschten Meeting beitritt. Sie sucht nach Ethereum-Wallet-Verbindungen über EIP-6963 und ältere Browser-Methoden. Auch nicht-EVM-Wallets, einschließlich Solana-Tools, werden überprüft. Die Ergebnisse gelangen zu einem Betreiber-Panel, ohne das Opfer zu alarmieren. Dies ermöglicht es den Angreifern, Wallets zu identifizieren und wertvollere Ziele auszuwählen, bevor sie die nächste Phase einleiten.
Unter Windows listet das Implantat auch Erweiterungs-IDs über Chrome, Edge, Brave, Opera, Vivaldi und Firefox-Varianten auf. Betreiber können diese IDs mit bekannten Wallet-Erweiterungen wie MetaMask vergleichen. JUMPSEC nannte dies ein System, das Wallets „vor der Malware-Lieferung“ profiliert.
Angriffsdetails und Techniken
Die Methode unterscheidet sich von breiten Phishing-Kampagnen, da die Angreifer Wallet-Daten sammeln, bevor sie entscheiden, wie weit sie in die Eindringung gehen. Die Opfer sehen zuerst eine überzeugende Meeting-Seite, die nach ihrem Namen und Webcam-Zugriff fragt. Die Seite sendet dann den Kamerastream an das Kontrollpanel des Angreifers.
„Nachdem das Opfer beigetreten ist, zeigt der Bildschirm ‚Warten auf andere Teilnehmer‘.“
Ein Betreiber kann mit einem vorbereiteten Video eintreten, Nachrichten wie „Ihr Mikrofon funktioniert nicht“ senden und eine gefälschte „Zoom SDK-Update“-Aufforderung auslösen. JUMPSEC stellte fest, dass das angezeigte Teilnehmer-Video nicht live war. Die Angreifer kombinierten KI-generierte Kopfaufnahmen mit Körperbewegungen, die in früheren Meetings erfasst wurden.
Die Teams-Version beinhaltete Emoji-Reaktionen, Geräteeinstellungen, Hintergrundeffekte und umfassendere Wallet-Überprüfungen, was sie polierter machte als das Zoom-Kit. Der Quellcode enthielt auch eine unfertige Google Meet-Option.
Malware-Implementierung
Unter Windows führt der kopierte ClickFix-Befehl einen kleinen PowerShell-Loader aus. Dieser lädt ein VBScript herunter, fügt eine Microsoft Defender-Ausschlussregel hinzu und startet Defender neu, damit die Änderung wirksam wird. Das Implantat sammelt Systemdetails, überprüft Browser auf Wallet-Erweiterungen und sucht nach Telegram Web-Dateien.
Der macOS-Pfad lädt einen gefälschten Zoom- oder Teams-Installer herunter, während ein Stealer im Hintergrund läuft. Forscher fanden Versionen, die Systeminformationen und Chrome-Master-Schlüssel aus Apples Schlüsselbund sammelten. Die Malware sendete Daten über einen Telegram-Bot und konnte eine andere Payload herunterladen.
Frühere Erkenntnisse und Empfehlungen
Die Ergebnisse erweitern frühere Forschungen zu BlueNoroffs gefälschten Meeting-Operationen. Im April berichtete Arctic Wolf von mehr als 80 ähnlichen Zoom- und Teams-Domains und identifizierte 100 weitere Ziele, deren Medien auf der Infrastruktur der Angreifer erschienen. Es wurde festgestellt, dass 80 % der identifizierten Ziele in Krypto-, Blockchain-Finanz- oder verwandten Investitionssektoren tätig waren.
JUMPSEC riet Organisationen, Meeting-Links von vertrauenswürdigen Konten mit Vorsicht zu behandeln, da das Konto des Absenders möglicherweise bereits kompromittiert ist. Krypto-Teams sollten ungewöhnliche Einladungen über einen anderen Kanal überprüfen, Befehle oder Updates, die während der Anrufe präsentiert werden, vermeiden und exponierte Telegram-Sitzungen widerrufen.
Ein Passwort-Reset allein entfernt möglicherweise nicht gestohlene Sitzungen oder Malware, die bereits auf dem Gerät in betroffenen Systemen ausgeführt wird.
