Warnung vor Social-Engineering-Kampagne
Bitcoin-Nutzer sehen sich einer erneuten Warnung über eine aktive Social-Engineering-Kampagne gegenüber, die vertrauenswürdige Telegram-Konten kapert und Krypto-Profis in gefälschte Zoom- oder Microsoft Teams-Meetings lenkt. Lightning News schlug am 7. August Alarm und verwies auf aktuelle Berichte von Mitgliedern der Bitcoin-Community.
Angriffsstruktur und Methoden
Unabhängige Sicherheitsforschung bestätigt die zentrale Angriffsstruktur, obwohl nicht jede Behauptung verifiziert wurde. JUMPSEC gab im Juli an, den Quellcode eines aktiven BlueNoroff-Phishing-Kits nach exponierten JavaScript-Quellkarten erhalten zu haben. Die Forscher fanden eine Plattform zur Opferakquise, die kompromittierte Telegram-Kontakte ausnutzt, Krypto-Wallets profiliert und Malware an ausgewählte Ziele auf Windows- und macOS-Systemen liefert.
„Der Angriff beginnt mit Vertrauen und nicht mit einer Blockchain-Schwachstelle.“
JUMPSEC stellte fest, dass Betreiber kompromittierte Telegram-Konten echter Branchenkontakte nutzen, um Ziele zu gefälschten Videomeetings einzuladen. Da die Nachrichten von echten Konten stammen und bestehende Beziehungen referenzieren können, bietet die Sendererkennung allein nur begrenzten Schutz.
Dokumentierte Vorfälle
Google Mandiant dokumentierte unabhängig einen ähnlichen UNC1069-Einbruch im Februar. Ein Opfer erhielt Nachrichten von einem kompromittierten Telegram-Konto eines Krypto-Executives, vereinbarte ein Meeting und wurde auf eine gefälschte Zoom-Domain umgeleitet. Das Opfer berichtete, während des inszenierten Anrufs ein scheinbar KI-generiertes Video eines anderen Krypto-Executives gesehen zu haben.
Die Attribution erfordert Präzision. Mandiant verfolgt den Akteur als UNC1069 und sagt, dass er sich mit BlueNoroff überschneidet. Das US-Finanzministerium hat BlueNoroff, auch bekannt als APT38, offiziell als eine von Nordkorea unterstützte Gruppe eingestuft, die vom General Bureau of Reconnaissance kontrolliert wird.
Technische Details der Angriffe
JUMPSEC’s rekonstruiertes Kit zeigt eine inszenierte Meeting-Oberfläche, die um Webcam-Zugriff bittet, bevor ein Betreiber mit vorab aufgenommenem Video beitritt. Das Opfer sieht dann ein angebliches Audio-Problem und ein gefälschtes Software-Update. Der angezeigte Fehlersuche-Text ist irreführend: Das Kopieren davon platziert einen vom Angreifer kontrollierten ClickFix-Befehl in die Zwischenablage.
Unter Windows beobachtete JUMPSEC PowerShell- und VBScript-Komponenten, die in der Lage sind, Abwehrmaßnahmen zu deaktivieren, Aufklärung durchzuführen und nachfolgende Zugriffe zu unterstützen. Auf macOS fanden die Forscher Shell-Skripte und Mach-O-Payloads, die darauf ausgelegt sind, Anmeldeinformationen und andere sensible Daten zu stehlen.
Empfehlungen zur Sicherheit
Das FBI hat separat gewarnt, dass nordkoreanische Akteure hochgradig maßgeschneidertes Social Engineering gegen Mitarbeiter im Bereich Kryptowährung und DeFi durchführen. Seine Richtlinien kennzeichnen speziell Anfragen zur Ausführung von Code, Installation unbekannter Anwendungen, Ausführung von Skripten zur Behebung von Videoanrufen oder zum Verschieben von Gesprächen zwischen Kommunikationsplattformen.
Das FBI empfiehlt, Identitäten über einen unabhängigen Kanal zu überprüfen und Wallet-Anmeldeinformationen, Seed-Phrasen und private Schlüssel von internetverbundenen Geräten fernzuhalten. Die Zwei-Faktor-Authentifizierung bleibt nützlich, aber infizierte Geräte können Sitzungsdaten offenlegen, sodass kompromittierte Sitzungen auch von einem sauberen Gerät widerrufen werden sollten.
Schlussfolgerung
Die Kampagne lässt sich daher am besten als eine laufende, mit Nordkorea verbundene Social-Engineering-Operation beschreiben, die sich auf die menschliche Schicht rund um die Krypto-Verwahrung konzentriert. Ihre Effektivität beruht darauf, vertrauenswürdige Identitäten und vertraute Arbeitsplatz-Tools auszunutzen, nicht darauf, Bitcoin selbst zu brechen.
