Die mit Nordkorea verbundene Hackergruppe BlueNoroff<\/strong> nutzt gef\u00e4lschte Zoom<\/strong>– und Microsoft Teams<\/strong>-Meetings, um Kryptow\u00e4hrungsnutzer zu profilieren, bevor sie Malware<\/strong> ausliefern. Das Cybersicherheitsunternehmen JUMPSEC<\/strong> berichtete, dass es den Quellcode eines aktiven Phishing-Kits<\/strong> wiederhergestellt und analysiert hat, nachdem die Betreiber JavaScript-Quellkarten auf einer Live-Infrastruktur offengelegt hatten.<\/p>\n Die Dateien zeigten separate Fallen f\u00fcr Zoom und Teams, Wallet-Scanning-Tools, Betreiberkontrollen und Malware-Lieferwege f\u00fcr Windows<\/strong> und macOS<\/strong>.<\/p>\n Der Angriff beginnt oft \u00fcber ein Telegram<\/strong>-Konto, dem das Ziel bereits vertraut. Die Hacker \u00fcbernehmen Konten von Krypto-Kontakten und senden dann eine Calendly-Einladung<\/strong>, die zu einer \u00e4hnlichen Meeting-Domain f\u00fchrt. JUMPSEC beschrieb das System als eine wiederholbare Opferpipeline, da eine gestohlene Telegram-Sitzung den Angreifern helfen kann, die n\u00e4chste Gruppe von Zielen zu kontaktieren.<\/p>\n Die Phishing-Seite beginnt, den Browser zu scannen, sobald ein Benutzer dem gef\u00e4lschten Meeting beitritt. Sie sucht nach Ethereum-Wallet<\/strong>-Verbindungen \u00fcber EIP-6963<\/strong> und \u00e4ltere Browser-Methoden. Auch nicht-EVM-Wallets, einschlie\u00dflich Solana<\/strong>-Tools, werden \u00fcberpr\u00fcft. Die Ergebnisse gelangen zu einem Betreiber-Panel, ohne das Opfer zu alarmieren. Dies erm\u00f6glicht es den Angreifern, Wallets zu identifizieren und wertvollere Ziele auszuw\u00e4hlen, bevor sie die n\u00e4chste Phase einleiten.<\/p>\n Unter Windows listet das Implantat auch Erweiterungs-IDs \u00fcber Chrome<\/strong>, Edge<\/strong>, Brave<\/strong>, Opera<\/strong>, Vivaldi<\/strong> und Firefox<\/strong>-Varianten auf. Betreiber k\u00f6nnen diese IDs mit bekannten Wallet-Erweiterungen wie MetaMask<\/strong> vergleichen. JUMPSEC nannte dies ein System, das Wallets \u201evor der Malware-Lieferung<\/em>\u201c profiliert.<\/p>\n Die Methode unterscheidet sich von breiten Phishing-Kampagnen, da die Angreifer Wallet-Daten sammeln, bevor sie entscheiden, wie weit sie in die Eindringung gehen. Die Opfer sehen zuerst eine \u00fcberzeugende Meeting-Seite, die nach ihrem Namen und Webcam-Zugriff fragt. Die Seite sendet dann den Kamerastream an das Kontrollpanel des Angreifers.<\/p>\n \u201eNachdem das Opfer beigetreten ist, zeigt der Bildschirm \u201aWarten auf andere Teilnehmer\u2018.\u201c<\/p><\/blockquote>\n Ein Betreiber kann mit einem vorbereiteten Video eintreten, Nachrichten wie \u201eIhr Mikrofon funktioniert nicht\u201c senden und eine gef\u00e4lschte \u201eZoom SDK-Update\u201c-Aufforderung ausl\u00f6sen. JUMPSEC stellte fest, dass das angezeigte Teilnehmer-Video nicht live war. Die Angreifer kombinierten KI-generierte Kopfaufnahmen mit K\u00f6rperbewegungen, die in fr\u00fcheren Meetings erfasst wurden.<\/p>\n Die Teams-Version beinhaltete Emoji-Reaktionen<\/strong>, Ger\u00e4teeinstellungen, Hintergrundeffekte und umfassendere Wallet-\u00dcberpr\u00fcfungen, was sie polierter machte als das Zoom-Kit. Der Quellcode enthielt auch eine unfertige Google Meet<\/strong>-Option.<\/p>\n Unter Windows f\u00fchrt der kopierte ClickFix<\/strong>-Befehl einen kleinen PowerShell-Loader<\/strong> aus. Dieser l\u00e4dt ein VBScript<\/strong> herunter, f\u00fcgt eine Microsoft Defender-Ausschlussregel hinzu und startet Defender neu, damit die \u00c4nderung wirksam wird. Das Implantat sammelt Systemdetails, \u00fcberpr\u00fcft Browser auf Wallet-Erweiterungen und sucht nach Telegram Web-Dateien.<\/p>\n Der macOS<\/strong>-Pfad l\u00e4dt einen gef\u00e4lschten Zoom- oder Teams-Installer herunter, w\u00e4hrend ein Stealer im Hintergrund l\u00e4uft. Forscher fanden Versionen, die Systeminformationen und Chrome-Master-Schl\u00fcssel<\/strong> aus Apples Schl\u00fcsselbund sammelten. Die Malware sendete Daten \u00fcber einen Telegram-Bot und konnte eine andere Payload herunterladen.<\/p>\n Die Ergebnisse erweitern fr\u00fchere Forschungen zu BlueNoroffs gef\u00e4lschten Meeting-Operationen. Im April berichtete Arctic Wolf<\/strong> von mehr als 80 \u00e4hnlichen Zoom- und Teams-Domains und identifizierte 100 weitere Ziele, deren Medien auf der Infrastruktur der Angreifer erschienen. Es wurde festgestellt, dass 80 % der identifizierten Ziele in Krypto-, Blockchain-Finanz- oder verwandten Investitionssektoren t\u00e4tig waren.<\/p>\n JUMPSEC riet Organisationen, Meeting-Links von vertrauensw\u00fcrdigen Konten mit Vorsicht zu behandeln, da das Konto des Absenders m\u00f6glicherweise bereits kompromittiert ist. Krypto-Teams sollten ungew\u00f6hnliche Einladungen \u00fcber einen anderen Kanal \u00fcberpr\u00fcfen, Befehle oder Updates, die w\u00e4hrend der Anrufe pr\u00e4sentiert werden, vermeiden und exponierte Telegram-Sitzungen widerrufen.<\/p>\n Ein Passwort-Reset allein entfernt m\u00f6glicherweise nicht gestohlene Sitzungen oder Malware, die bereits auf dem Ger\u00e4t in betroffenen Systemen ausgef\u00fchrt wird.<\/p>\n","protected":false},"excerpt":{"rendered":" Einf\u00fchrung Die mit Nordkorea verbundene Hackergruppe BlueNoroff nutzt gef\u00e4lschte Zoom– und Microsoft Teams-Meetings, um Kryptow\u00e4hrungsnutzer zu profilieren, bevor sie Malware ausliefern. Das Cybersicherheitsunternehmen JUMPSEC berichtete, dass es den Quellcode eines aktiven Phishing-Kits wiederhergestellt und analysiert hat, nachdem die Betreiber JavaScript-Quellkarten auf einer Live-Infrastruktur offengelegt hatten. Angriffsmechanismus Die Dateien zeigten separate Fallen f\u00fcr Zoom und Teams, Wallet-Scanning-Tools, Betreiberkontrollen und Malware-Lieferwege f\u00fcr Windows und macOS. Der Angriff beginnt oft \u00fcber ein Telegram-Konto, dem das Ziel bereits vertraut. Die Hacker \u00fcbernehmen Konten von Krypto-Kontakten und senden dann eine Calendly-Einladung, die zu einer \u00e4hnlichen Meeting-Domain f\u00fchrt. JUMPSEC beschrieb das System als eine wiederholbare Opferpipeline,<\/p>\n","protected":false},"author":3,"featured_media":17116,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[15,64],"tags":[57,11,10601,13,65,272,10602,72,115,1923,8354],"class_list":["post-17117","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-bitcoin","category-hack","tag-apple","tag-bitcoin","tag-bluenoroff","tag-ethereum","tag-hack","tag-metamask","tag-microsoft-teams","tag-north-korea","tag-solana","tag-telegram","tag-zoom"],"yoast_description":"Nordkoreanische Hacker nutzen gef\u00e4lschte Zoom-Anrufe, um Krypto-Nutzer zu profilieren und Malware zu verbreiten. Dabei setzen sie Phishing-Taktiken und kompromittierte Konten ein, um Wallets ins Visier zu nehmen.","_links":{"self":[{"href":"https:\/\/satoshibrother.com\/de\/wp-json\/wp\/v2\/posts\/17117","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/satoshibrother.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/satoshibrother.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/satoshibrother.com\/de\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/satoshibrother.com\/de\/wp-json\/wp\/v2\/comments?post=17117"}],"version-history":[{"count":0,"href":"https:\/\/satoshibrother.com\/de\/wp-json\/wp\/v2\/posts\/17117\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/satoshibrother.com\/de\/wp-json\/wp\/v2\/media\/17116"}],"wp:attachment":[{"href":"https:\/\/satoshibrother.com\/de\/wp-json\/wp\/v2\/media?parent=17117"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/satoshibrother.com\/de\/wp-json\/wp\/v2\/categories?post=17117"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/satoshibrother.com\/de\/wp-json\/wp\/v2\/tags?post=17117"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Angriffsmechanismus<\/h2>\n
Phishing-Seite und Wallet-Profilierung<\/h2>\n
Angriffsdetails und Techniken<\/h2>\n
Malware-Implementierung<\/h2>\n
Fr\u00fchere Erkenntnisse und Empfehlungen<\/h2>\n