BlueNoroff scannt Krypto-Wallets in gefälschten Zoom-Anrufen, bevor Schadsoftware eingeschleust wird
- Das Sicherheitsunternehmen JUMPSEC stellte fest, dass das nordkoreanische BlueNoroff Profile von Krypto-Wallets in gefälschten Zoom- und Teams-Anrufen erstellt und anschließend gezielt hochwertige Ziele auf Windows- und macOS-Systemen infiziert.
- Die Kampagne hat über 100 Opfer in mehr als 20 Ländern getroffen, 41 % davon in den Vereinigten Staaten, und 45 % der Betroffenen sind Gründer oder CEOs.
- BlueNoroff, eine Untergruppe der Lazarus Group, überarbeitet ständig ihr Phishing-Kit; JUMPSEC zählte allein zwischen dem 22. April und dem 15. Juli vier macOS-Varianten.
Eine nordkoreanische Hackergruppe durchsucht Krypto-Wallets, bevor sie zuschlägt. Die Gruppe lockt ihre Opfer in gefälschte Zoom- und Microsoft-Teams-Anrufe.
Das britische Sicherheitsunternehmen JUMPSEC veröffentlichte diese Woche die Quellcodeanalyse. Die Operation von BlueNoroff zielt auf Personen ab, die im Besitz privater Schlüssel sind. Es genügt, wenn eine einzige Person die falsche Eingabeaufforderung anklickt.
BlueNoroff überprüft Krypto-Wallets, bevor es entscheidet, wen es infiziert
JUMPSEC konnte den eigentlichen Quellcode des Kits wiederherstellen, nachdem die Betreiber JavaScript-Quellzuordnungen auf der Live-Infrastruktur ungeschützt gelassen hatten.
Die Dateien beschreiben einen Workflow, der den Browser eines Ziels scannt, sobald dieser die gefälschte Meeting-Seite aufruft. JUMPSEC stellte fest, dass das Kit mithilfe des EIP-6963-Standards und älterer Browsertechniken nach Ethereum Verbindungen sucht
Es sucht auch nach Nicht-EVM-Wallets wie Solana Tools. Die Ergebnisse werden direkt an das Dashboard des Betreibers übermittelt. Der Gesprächspartner erhält dabei weder eine Benachrichtigung noch eine Warnung.
Die Schadsoftware auf Windows-Computern enthält eine Liste mit Browser-Erweiterungs-IDs für Chrome, Edge, Brave, Opera, Vivaldi und Firefox. Hacker verwenden diese IDs dann, um sie mit bekannten Wallet-Erweiterungen wie MetaMask abzugleichen.
Angreifer können jede Wallet überprüfen, entscheiden, welche einen vollständigen Einbruch lohnen, und dann Schadsoftware an diese Ziele senden. Der Köder basiert auf dem bestehenden Vertrauen des Opfers in eine andere Person.
Angreifer übernehmen den Telegram-Account eines Krypto-Kontakts und versenden eine überzeugende Calendly-Einladung zu einer gefälschten Meeting-Domain. Jeder übernommene Account führt zu den Krypto-Kontakten dieses Kontakts, die dann die nächsten Ziele darstellen.
Sobald der Videoanruf beginnt, fragt die Seite nach einem Namen und dem Zugriff auf die Webcam. Anschließend sendet sie das Kamerabild an das Bedienfeld des Angreifers im Hintergrund.
Die Opfer sehen dann einen Bildschirm mit der Meldung „Warten auf andere Teilnehmer“. Anschließend spielt der Operator ein vorab aufgezeichnetes Video ab und sagt zum Opfer: „Ihr Mikrofon funktioniert nicht.“ Danach erscheint eine gefälschte Meldung über ein „Zoom SDK-Update“.
Laut JUMPSEC ist das Gesicht im Anruf nicht echt. Angreifer fügen KI-generierte Kopfbilder auf Körperbewegungen zusammen, die in früheren Besprechungen aufgezeichnet wurden.
Die gefälschte Teams-Besprechungsseite enthielt Emoji-Reaktionen, Geräteeinstellungen, Hintergrundeffekte und eine Wallet-Scan-Funktion. JUMPSEC entdeckte im aufgedeckten Code außerdem einen unvollständigen Google Meet-Klon.
Jedes Betriebssystem verfügt über spezifische Malware-Payloads
Unter Windows startet der kopierte ClickFix-Befehl einen kleinen PowerShell-Loader, der ein VBScript herunterlädt. Anschließend wird eine Ausnahme für Microsoft Defender hinzugefügt und Defender neu gestartet, um die Änderung dauerhaft zu speichern.
Die Schadsoftware sammelt Systeminformationen und sucht in Browsern nach Wallet-Erweiterungen. Sie durchsucht außerdem Telegram-Webdateien. Darüber hinaus kann sie weitere Schadsoftware empfangen, die Forscher nie vollständig rekonstruieren konnten.
Hacker platzieren eine gefälschte Installationsdatei für Zoom oder Teams auf macOS, während ein Schadprogramm unbemerkt im Hintergrund läuft. Dieses stiehlt Systemdaten und die Chrome-Hauptschlüssel aus Apples Schlüsselbund und versendet sie über Telegram.
Sicherheitsforscher entdeckten vier macOS-Versionen aus dem Zeitraum vom 22. April bis zum 15. Juli. Arctic Wolf und JUMPSEC fanden fünf Phishing-Kit-Versionen, die zwischen dem 31. Mai und dem 14. Juli ausgeliefert wurden und eine vollständige Kompromittierung in weniger als fünf Minuten ermöglichten.
Die Recherchen von Arctic Wolfdentüber 100 Opfer in mehr als 20 Ländern, darunter 41 % in den USA. Im April zählte Arctic Wolf über 80 seit Ende 2025 registrierte, typosquatte Meeting-Domains.
Etwa 80 % der Betroffenen arbeiten im Krypto- oder Blockchain-Finanzsektor, 45 % sind Gründer oder CEOs. Die Angriffe fielen zeitlich mit den Geschäftszeiten in Nordkorea zusammen.
BlueNoroff ist eine Untergruppe der Lazarus-Gruppe. Cryptopolitan berichtete bereits, dass Lazarus Banken und Kryptofirmen mit einem dateilosen RemotePE-Trojaner ins Visier nahm und dabei ähnliche Köder wie Telegram und gefälschte Terminplaner verwendete.
Die klügsten Köpfe der Krypto-Szene lesen bereits unseren Newsletter. Möchten Sie auch dabei sein? Dann schließen Sie sich ihnen an.
Häufig gestellte Fragen
Wer steckt hinter den gefälschten Zoom- und Teams-Angriffen?
Dahinter steckt BlueNoroff, eine finanziell motivierte Untergruppe der nordkoreanischen Lazarus-Gruppe. Forscher bringen die Gruppe mit zahlreichen Kryptodiebstählen in Verbindung, die der Finanzierung des nordkoreanischen Staates dienen.
Wie stiehlt der Angriff Kryptowährung?
Die gefälschte Meeting-Seite scannt zunächst den Browser des Opfers nach Wallets. Anschließend löst ein Angreifer eine gefälschte Software-Update-Aufforderung aus, die einen ClickFix-Befehl ausführt und Schadsoftware installiert, die Wallet-dent, Systemdaten und Telegram-Dateien unter Windows oder macOS ausliest.
Wie viele Menschen wurden ins Visier genommen?
Arctic Wolfdentüber 100 Opfer in mehr als 20 Ländern, 41 % davon in den USA. Rund 80 % arbeiteten im Krypto- oder Blockchain-Finanzwesen, 45 % waren Gründer oder CEOs.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan/ übernimmt keine Haftung für Investitionen, die auf Grundlage der Informationen auf dieser Seite getätigt werden. Wirtronempfehlen dringend, vor jeder Anlageentscheidung eigene Recherchen durchzuführendent oder einen qualifizierten Fachmann zu konsultieren
Randa Moses
Randa Moses ist Redakteurin und Reporterin bei Cryptopolitan und berichtet über Technologie, KI, Robotik, Kryptowährungen, Betrug und Hackerangriffe. Sie ist seit 2017 in der Krypto-Branche tätig und arbeitete zuvor bei Forward Protocol, AmaZix und Cryptosomniac. Randa hat einen Abschluss in Elektrotechnik undtronvon der Universität Bradford.
