BlueNoroff scannt Krypto-Wallets in gefälschten Zoom-Anrufen, bevor Malware abgeworfen wird
- Die Sicherheitsfirma JUMPSEC hat festgestellt, dass BlueNoroff aus Nordkorea Krypto-Wallets in gefälschten Zoom- und Teams-Calls profilieren und dann gezielt hochkarätige Ziele auf Windows und macOS infizieren.
- Die Kampagne hat bereits über 100 Opfer in mehr als 20 Ländern getroffen; 41% davon befinden sich in den USA, und 45% der Zielgruppen sind Gründer oder CEOs.
- BlueNoroff, eine Untergruppe der Lazarus Group, passt ihre Phishing-Kits ständig an. Allein zwischen dem 22. April und dem 15. Juli zählte JUMPSEC vier Varianten für macOS.
Eine nordkoreanische Hackergruppe durchsucht Krypto-Wallets, bevor sie zuschlägt. Die Gruppe bringt Opfer dazu, an gefälschten Zoom- und Microsoft-Teams-Anrufen teilzunehmen.
Das britische Sicherheitsunternehmen JUMPSEC hat diese Woche die Analyse des Quellcodes veröffentlicht. BlueNoroffs Operation zielt auf Personen ab, die private Schlüssel besitzen. Es genügt, dass eine Person auf den falschen Prompt klickt.
BlueNoroff durchsucht Krypto-Wallets, bevor es entscheidet, wen es infiziert
JUMPSEC war in der Lage, den echten Quellcode des Kits abzurufen, nachdem die Betreiber JavaScript-Quellkarten (Source Maps) auf der Live-Infrastruktur ungeschützt gelassen hatten.
Die Dateien beschreiben einen Workflow, der den Browser eines Ziels sofort scannt, sobald es die gefälschte Meeting-Seite aufruft. JUMPSEC stellte fest, dass das Kit nach Ethereum-Verbindungen mit dem EIP-6963-Standard und mit veralteten Browser-Techniken sucht.
Es sondiert auch nach Nicht-EVM-Wallets wie Solana-Tools. Die Ergebnisse werden direkt an ein Operator-Dashboard gesendet. Und die Person am Anruf erhält niemals einen Prompt oder eine Warnung.
Die Malware auf Windows-Computern enthält eine Liste von Browser-Erweiterungs-IDs für Chrome, Edge, Brave, Opera, Vivaldi und Firefox. Hacker verwenden diese IDs dann, um sie gegen bekannte Wallet-Erweiterungen wie MetaMask zu prüfen.
Angreifer können jede Wallet prüfen, entscheiden, welche sich für einen vollständigen Einbruch lohnen, und dann Payloads an diese Ziele senden. Der Köder basiert auf dem bestehenden Vertrauen des Opfers in eine andere Person.
Angreifer übernehmen das Telegramm-Konto eines Krypto-Kontakts und senden eine überzeugende Calendly-Einladung zu einer gefälschten Meeting-Domain. Jeder übernommene Account führt zu den eigenen Krypto-Kontakten dieses Kontakts, die zur nächsten Runde der Ziele werden.
Sobald der Videoanruf beginnt, fordert die Seite einen Namen und den Zugriff auf die Webcam an. Anschließend sendet sie das Kamerabild im Hintergrund an das Panel des Angreifers.
Die Opfer sehen dann einen Bildschirm mit der Aufschrift „Warten auf andere Teilnehmer“. Dann spielt der Operator ein vorab aufgezeichnetes Video ab und sagt zum Opfer: „Dein Mikrofon funktioniert nicht.“ Danach erscheint eine gefälschte Meldung „Zoom SDK Update“.
Das Gesicht im Anruf ist nicht echt, so JUMPSEC. Angreifer fügen KI-generierte Kopfporträts in Körperbewegungen ein, die in früheren Meetings aufgenommen wurden.
Die gefälschte Teams-Meeting-Seite enthält Emoji-Reaktionen, Geräteeinstellungen, Hintergrundeffekte und Wallet-Scans. JUMPSEC fand auch einen unvollständigen Google-Meet-Klon im freigegebenen Code.
Jedes Betriebssystem hat dedizierte Malware-Payloads
Unter Windows startet der kopierte ClickFix-Befehl einen kleinen PowerShell-Loader, der ein VBScript herunterlädt. Anschließend fügt es eine Microsoft-Defender-Ausnahme hinzu und startet Defender neu, um die Änderung dauerhaft zu machen.
Die Payload sammelt Systeminformationen und sucht nach Wallet-Erweiterungen in Browsern. Sie sucht auch nach Telegramm-Web-Dateien. Und sie kann spätere Payloads empfangen, die von Forschern nie vollständig geborgen wurden.
Hacker werfen unter macOS einen gefälschten Zoom- oder Teams-Installer ab, während ein Stealer im Hintergrund läuft. Er stiehlt Systemdaten und Chrome-Masterschlüssel aus Apples Keychain und sendet sie über Telegramm.
Sicherheitsforscher fanden vier macOS-Versionen vom 22. April bis 15. Juli. Arctic Wolf und JUMPSEC fanden fünf Versionen von Phishing-Kits, die zwischen dem 31. Mai und 14. Juli ausgeliefert wurden, mit einer vollständigen Kompromittierung in weniger als fünf Minuten.
Arctic Wolfs Forschung identifizierte mehr als 100 Opfer in über 20 Ländern, darunter 41 % in den Vereinigten Staaten. Im April zählte Arctic Wolf mehr als 80 Typosquatting-Meeting-Domains, die seit Ende 2025 registriert wurden.
Etwa 80 % derjenigen, die ins Visier genommen wurden, arbeiten in der Krypto- oder Blockchain-Finanzbranche, und 45 % sind Gründer oder CEOs. Der Zeitpunkt der Angriffe korrelierte auch mit den Geschäftszeiten in Nordkorea.
BlueNoroff ist eine Untergruppe der Lazarus Group. Cryptopolitan berichtete zuvor, dass Lazarus Banken und Krypto-Unternehmen mit einem dateilosen RemotePE-Trojaner angriff, der ähnliche Telegramm- und Fake-Scheduler-Köder verwendete.
Die klügsten Krypto-Köpfe lesen bereits unseren Newsletter. Lust dabei? Mach mit.
Häufig gestellte Fragen
Wer steckt hinter den Angriffen mit gefälschten Zoom- und Teams-Anrufen?
Hintergrund ist BlueNoroff, eine finanziell motivierte Untergruppe der nordkoreanischen Lazarus Group. Forscher verbinden die Gruppe mit zahlreichen Krypto-Diebstählen zur Finanzierung des nordkoreanischen Staates.
Wie stiehlt der Angriff Kryptowährungen?
Die gefälschte Meeting-Seite scannt zunächst den Browser des Opfers nach Wallets ab. Anschließend löst ein Angreifer einen betrügerischen Software-Update-Prompt aus, der einen ClickFix-Befehl ausführt und Malware installiert, die Wallet-Anmeldedaten, Systemdaten und Telegram-Dateien auf Windows oder macOS ausspäht.
Wie viele Personen wurden ins Visier genommen?
Arctic Wolf identifizierte über 100 Opfer in mehr als 20 Ländern, wobei 41% in den USA ansässig waren. Etwa 80% arbeiteten im Bereich Krypto oder Blockchain-Finanzwesen, und 45% waren Gründer oder CEOs.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Randa Moses
Randa Moses ist Redakteurin und Reporterin bei Cryptopolitan, wo sie über Technologie, KI, Robotik, Krypto, Betrug und Hacks berichtet. Sie arbeitet seit 2017 im Krypto-Bereich. Zuvor war sie bei Forward Protocol, AmaZix und Cryptosomniac tätig. Randa besitzt einen Abschluss in Elektrotechnik und Elektronik der University of Bradford.
