BlueNoroff escanea billeteras de criptomonedas en llamadas falsas de Zoom antes de descargar malware
- La firma de seguridad JUMPSEC descubrió que los perfiles de BlueNoroff de Corea del Norte rastrean carteras de criptomonedas en llamadas falsas de Zoom y Teams, para luego infectar selectivamente a objetivos de alto valor en Windows y macOS.
- La campaña ha afectado a más de 100 víctimas en más de 20 países, con un 41% en Estados Unidos y un 45% de los objetivos siendo fundadores o CEOs.
- BlueNoroff, un subgrupo del Grupo Lazarus, sigue revisando su kit de phishing; JUMPSEC contó cuatro variantes de macOS solo entre el 22 de abril y el 15 de julio.
Un grupo de hackers norcoreano escanea billeteras de criptomonedas antes de atacar. El grupo engaña a las víctimas para que participen en llamadas falsas de Zoom y Microsoft Teams.
La firma de seguridad británica JUMPSEC publicó el análisis del código fuente esta semana. La operación de BlueNoroff apunta a las personas que poseen claves privadas. Solo necesita que una persona haga clic en el aviso incorrecto.
BlueNoroff escanea billeteras de criptomonedas antes de elegir a quién infectar
JUMPSEC pudo recuperar el verdadero código fuente del kit después de que sus operadores dejaran expuestos los mapas de origen de JavaScript en la infraestructura en vivo.
Los archivos describen un flujo de trabajo que escanea el navegador de un objetivo tan pronto como llega a la página de reunión falsa. JUMPSEC encontró que el kit busca conexiones Ethereum con el estándar EIP-6963 y con técnicas de navegador heredadas.
También busca billeteras no EVM como las herramientas de Solana. Los resultados se envían directamente a un panel de operador. Y la persona en la llamada nunca recibe un aviso o advertencia.
El malware en las computadoras con Windows tiene una lista de IDs de extensiones de navegador para Chrome, Edge, Brave, Opera, Vivaldi y Firefox. Los hackers luego usan estos IDs para verificar contra extensiones de billeteras conocidas como MetaMask.
Los atacantes pueden verificar cada billetera, decidir cuáles valen la pena para un ataque completo y luego enviar cargas útiles a esos objetivos. El señuelo se basa en la confianza existente de la víctima en otra persona.
Los atacantes toman el control de la cuenta de Telegram de un contacto de criptomonedas y envían una invitación convincente de Calendly a un dominio de reunión falsa. Cada cuenta secuestrada conduce a los propios contactos de criptomonedas de ese contacto, quienes se convierten en el siguiente grupo de objetivos.
Tan pronto como comienza la videollamada, la página solicita un nombre y acceso a la cámara web. Luego envía la transmisión de la cámara al panel del atacante en segundo plano.
Las víctimas luego ven una pantalla que dice “esperando a otros participantes”. Luego, el operador reproduce un video pregrabado y le dice a la víctima: “Tu micrófono no funciona”. Después de eso, aparece un mensaje falso de “Actualización del SDK de Zoom”.
El rostro en la llamada no es real, según JUMPSEC. Los atacantes cosen cabezas generadas por IA en movimientos corporales capturados en reuniones anteriores.
La página de reunión falsa de Teams incluye reacciones de emojis, configuraciones de dispositivo, efectos de fondo y escaneo de billeteras. JUMPSEC también encontró un clon incompleto de Google Meet dentro del código expuesto.
Cada sistema operativo tiene cargas útiles de malware dedicadas
En Windows, el comando ClickFix copiado lanza un pequeño cargador de PowerShell que descarga un VBScript. Luego agrega una exclusión de Microsoft Defender y reinicia Defender para hacer el cambio permanente.
La carga útil recopila información del sistema y busca extensiones de billeteras en los navegadores. También busca archivos de Telegram Web. Y puede recibir cargas útiles posteriores que los investigadores nunca lograron recuperar por completo.
Los hackers instalan un instalador falso de Zoom o Teams en macOS mientras un ladrón de datos se ejecuta en silencio. Roba datos del sistema y las claves maestras de Chrome de la Llavero de Apple y las envía a través de Telegram.
Los investigadores de seguridad encontraron cuatro versiones de macOS del 22 de abril al 15 de julio. Arctic Wolf y JUMPSEC encontraron cinco versiones de kits de phishing enviadas entre el 31 de mayo y el 14 de julio, con compromiso total en menos de cinco minutos.
La investigación de Arctic Wolf identificó a más de 100 víctimas en más de 20 países, incluido un 41% en Estados Unidos. En abril, Arctic Wolf contabilizó más de 80 dominios de reuniones registrados con errores tipográficos desde finales de 2025.
Aproximadamente el 80% de los objetivos trabajan en criptomonedas o finanzas blockchain, y el 45% son fundadores o CEOs. La fecha de los ataques también correspondió con las horas comerciales en Corea del Norte.
BlueNoroff es un subgrupo del Grupo Lazarus. Cryptopolitan informó anteriormente que Lazarus atacó bancos y empresas de criptomonedas con un troyano RemotePE sin archivos, utilizando señuelos similares de Telegram y programadores falsos.
Si estás leyendo esto, ya vas por delante. Mantente así con nuestro boletín.
Preguntas frecuentes
¿Quién está detrás de los ataques falsos de Zoom y Teams?
BlueNoroff está detrás de esto, un subgrupo motivado financieramente del Grupo Lazarus de Corea del Norte. Los investigadores vinculan al grupo con numerosos robos de criptomonedas destinados a financiar el estado norcoreano.
¿Cómo roba criptomonedas el ataque?
La página de reunión falsa escanea primero el navegador de la víctima en busca de carteras. Luego, un operador activa una solicitud de actualización de software falsa que ejecuta un comando ClickFix, instalando malware que extrae credenciales de carteras, datos del sistema y archivos de Telegram en Windows o macOS.
¿Cuántas personas han sido objetivo?
Arctic Wolf identificó a más de 100 víctimas en más de 20 países, con un 41% en Estados Unidos. Aproximadamente el 80% trabajaba en criptomonedas o finanzas blockchain, y el 45% eran fundadores o CEOs.
Descargo de responsabilidad. La información proporcionada no constituye asesoramiento financiero. Cryptopolitan.com no asume ninguna responsabilidad por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente realizar una investigación independiente y/o consultar con un profesional calificado antes de tomar cualquier decisión de inversión.
Randa Moses
Randa Moses es editora y reportera en Cryptopolitan, donde cubre tecnología, IA, robótica, criptomonedas, estafas y ciberataques. Ha trabajado en el espacio de las criptomonedas desde 2017. Ocupó cargos en Forward Protocol, AmaZix y Cryptosomniac. Randa posee un grado en Ingeniería Eléctrica y Electrónica de la Universidad de Bradford.
