Nordkoreanische Staats-Hacker nutzen Deepfake-Zoom-Anrufe, um Krypto-Unternehmen zu hacken

Nordkoreanische Staats-Hacker zielen mit mehreren einzigartigen Malware-Programmen, die zusammen mit mehreren Betrugsfällen, einschließlich gefälschter Zoom-Meetings, eingesetzt werden, auf Krypto-Unternehmen ab. 

Der nordkorea-verknüpfte Bedrohungsakteur, bekannt als UNC1069, wurde dabei beobachtet, wie er den Krypto-Sektor angreift, um sensible Daten von Windows- und macOS-Systemen zu stehlen, mit dem ultimativen Ziel, finanziellen Diebstahl zu erleichtern.

Es wurde bewertet, dass UNC1069 seit April 2018 aktiv ist. Es hat eine Geschichte von Social-Engineering-Kampagnen zum finanziellen Gewinn unter Verwendung gefälschter Meeting-Einladungen und der Tarnung als Investoren renommierter Unternehmen. 

Gefälschter Zoom-Anruf setzt Malware-Angriff auf Krypto-Unternehmen ein

In ihrem neuesten Bericht detaillierten Forscher von Google Mandiant ihre Untersuchung einer Intrusion, die ein FinTech-Unternehmen in der Krypto-Branche zielte. Laut den Ermittlern begann die Intrusion mit einem kompromittierten Telegramm-Konto eines Krypto-Branche-Exekutiven. 

Die Angreifer nutzten das entführte Profil, um Kontakt zum Opfer aufzunehmen. Sie bauten allmählich Vertrauen auf, bevor sie eine Calendly-Einladung für ein Videogespräch sendeten. Der Meeting-Link leitete das Ziel auf eine gefälschte Zoom-Domain, die auf Infrastruktur unter der Kontrolle der Bedrohungsakteure gehostet wurde.

Während des Anrufs berichtete das Opfer, dass es ein Deepfake-Video eines CEOs eines anderen Krypto-Unternehmens zu sehen schien.

„Während Mandiant keine forensischen Beweise wiederherstellen konnte, um die Verwendung von KI-Modellen in diesem spezifischen Fall unabhängig zu verifizieren, ähnelt der gemeldete Trick einem zuvor öffentlich gemeldeten Vorfall mit ähnlichen Merkmalen, bei dem ebenfalls Deepfakes eingesetzt wurden“, so der Bericht .

Die Angreifer erweckten den Anschein von Audio-Problemen im Meeting, um den nächsten Schritt zu rechtfertigen. Sie wiesen das Opfer an, Troubleshooting-Befehle auf seinem Gerät auszuführen. Diese Befehle, die sowohl für macOS- als auch für Windows-Systeme zugeschnitten waren, initiierten heimlich die Infektionskette. Infolgedessen wurden mehrere Malware-Komponenten aktiviert.

Mandiant identifizierte sieben verschiedene Arten von Malware, die während des Angriffs verwendet wurden. Die Tools waren darauf ausgelegt, auf den Schlüsselbund zuzugreifen und Passwörter zu stehlen, Browser-Cookies und Login-Informationen abzurufen, Telegramm-Sitzungsinformationen zu erhalten und andere private Dateien zu beschaffen.

Die Ermittler bewerteten, dass das Ziel zweigeteilt war: Potentiellen Krypto-Diebstahl zu ermöglichen und Daten zu ernten, die zukünftige Social-Engineering-Angriffe unterstützen könnten. Die Untersuchung ergab ein ungewöhnlich großes Volumen an Tools, die auf einem einzelnen Host abgelegt wurden. 

KI-verknüpfte Scam-Cluster zeigen höhere operative Effizienz

Der Vorfall ist Teil eines breiteren Musters. Nordkorea-verknüpfte Akteure haben mehr als 300 Millionen US-Dollar abgezweigt, indem sie sich während betrügerischer Zoom- und Microsoft-Teams-Meetings als vertrauenswürdige Branchenfiguren ausgegeben haben.

Das Ausmaß der Aktivitäten im Laufe des Jahres war noch auffälliger. Wie von Cryptopolitan berichtet, waren nordkoreanische Bedrohungsgruppen im Jahr 2025 für gestohlene digitale Vermögenswerte in Höhe von 2,02 Milliarden US-Dollar verantwortlich, was einer Zunahme von 51 % gegenüber dem Vorjahr entspricht.

Chainalysis hat ebenfalls offengelegt, dass mit KI-Dienstleistern verbundene Scam-Cluster eine höhere operative Effizienz aufweisen als solche ohne solche Verbindungen. Laut dem Unternehmen deutet dieser Trend auf eine Zukunft hin, in der KI zu einem Standardbestandteil der meisten Betrugsoperationen wird.

In einem im vergangenen November veröffentlichten Bericht bemerkte die Google Threat Intelligence Group (GTIG) die Verwendung generativer künstlicher Intelligenz (KI) durch den Bedrohungsakteur, wie Gemini. Sie nutzen diese, um Lockmaterialien und andere Krypto-bezogene Nachrichten zu produzieren, als Teil ihrer Bemühungen, ihre Social-Engineering-Kampagnen zu unterstützen.

Seit mindestens 2023 hat die Gruppe von Spear-Phishing-Techniken und traditionellen Finanzzielen (TradFi) hin zur Web3-Branche, wie zentralisierten Börsen (CEX), Softwareentwicklern bei Finanzinstituten, Hochtechnologieunternehmen und Personen in Venture-Capital-Fonds, gewechselt.

Google.

Es wurde auch beobachtet, wie die Gruppe versucht, Gemini missbräuchlich zu nutzen, um Code zur Diebstahl von Krypto-Vermögenswerten zu entwickeln. Sie nutzen auch Deepfake-Bilder und Video-Locks, die Personen in der Krypto-Branche imitieren, in ihren Kampagnen, um ein Backdoor namens BIGMACHO an Opfer zu verteilen, indem sie es als Zoom-Software-Entwicklungs-Kit (SDK) ausgeben.