BlueNoroff scansiona i wallet crittografici nelle chiamate Zoom false prima di rilasciare malware
- La società di sicurezza JUMPSEC ha scoperto che BlueNoroff, un gruppo nordcoreano, profila i portafogli crypto durante false chiamate su Zoom e Teams, per poi infettare selettivamente obiettivi ad alto valore su Windows e macOS.
- La campagna ha colpito oltre 100 vittime in più di 20 paesi: il 41% si trova negli Stati Uniti e il 45% degli obiettivi sono fondatori o CEO.
- BlueNoroff, sottogruppo del Lazarus Group, continua a rivedere il proprio kit di phishing; JUMPSEC ne ha contate quattro varianti per macOS solo tra il 22 aprile e il 15 luglio.
Un gruppo di hacker nordcoreano scansiona i wallet crittografici prima di colpire. Il gruppo inganna le vittime facendole partecipare a chiamate false su Zoom e Microsoft Teams.
L'azienda di sicurezza britannica JUMPSEC ha rilasciato l'analisi del codice sorgente questa settimana. L'operazione di BlueNoroff prende di mira le persone che detengono le chiavi private. Basta che una persona clicchi sul prompt sbagliato.
BlueNoroff scansiona i wallet crittografici prima di scegliere chi infettare
JUMPSEC è stata in grado di recuperare il vero codice sorgente del kit dopo che i suoi operatori hanno lasciato esposti i source map JavaScript sull'infrastruttura live.
I file descrivono un flusso di lavoro che scansiona il browser di un target non appena atterra nella pagina dell'incontro falso. JUMPSEC ha scoperto che il kit cerca connessioni Ethereum con lo standard EIP-6963 e con tecniche browser legacy.
Esplora anche wallet non-EVM come gli strumenti Solana. I risultati vengono inviati direttamente a una dashboard dell'operatore. E la persona nella chiamata non riceve mai un prompt o un avviso.
Il malware sui computer Windows ha un elenco di ID di estensioni del browser per Chrome, Edge, Brave, Opera, Vivaldi e Firefox. Gli hacker usano poi questi ID per verificare le estensioni di wallet note come MetaMask.
Gli attaccanti possono controllare ogni wallet, decidere quali valgono una violazione completa e poi inviare payload a quei target. L'esca si basa sulla fiducia esistente della vittima in qualcun altro.
Gli attaccanti prendono il controllo dell'account Telegram di un contatto crypto e inviano un invito Calendly convincente a un dominio di incontro falso. Ogni account dirottato porta a quel contatto dei propri contatti crypto, che diventano il prossimo round di target.
Non appena inizia la videochiamata, la pagina chiede un nome e l'accesso alla webcam. Poi invia il feed della telecamera al pannello dell'attaccante in background.
Le vittime vedono poi uno schermo che dice “in attesa di altri partecipanti”. Poi l'operatore riproduce un video pre-registrato e dice alla vittima: “Il tuo microfono non funziona”. Dopo di che, appare un messaggio falso di “Aggiornamento SDK Zoom”.
Il volto nella chiamata non è reale, secondo JUMPSEC. Gli attaccanti cuciono ritratti generati dall'IA sui movimenti del corpo catturati in riunioni precedenti.
La pagina dell'incontro falso di Teams include reazioni emoji, impostazioni del dispositivo, effetti sfondo e scansioni di wallet. JUMPSEC ha anche trovato un clone incompleto di Google Meet all'interno del codice esposto.
Ogni sistema operativo ha payload malware dedicati
Su Windows, il comando ClickFix copiato avvia un piccolo loader PowerShell che scarica un VBScript. Poi aggiunge un'esclusione di Microsoft Defender e riavvia Defender per rendere il cambiamento permanente.
Il payload raccoglie informazioni di sistema e cerca estensioni di wallet nei browser. Cerca anche file Telegram Web. E può ricevere payload successivi che i ricercatori non sono riusciti a recuperare completamente.
Gli hacker scaricano un installer falso di Zoom o Teams su macOS mentre un stealer gira silenziosamente. Ruba dati di sistema e chiavi master di Chrome dal Keychain di Apple e le invia tramite Telegram.
I ricercatori di sicurezza hanno trovato quattro versioni di macOS dal 22 aprile al 15 luglio. Arctic Wolf e JUMPSEC hanno trovato cinque versioni di kit di phishing spedite tra il 31 maggio e il 14 luglio, con compromissione completa in meno di cinque minuti.
La ricerca di Arctic Wolf ha identificato oltre 100 vittime in oltre 20 paesi, incluso il 41% negli Stati Uniti. Ad aprile, Arctic Wolf ha contato oltre 80 domini di incontro typosquatted registrati dalla fine del 2025.
Circa l'80% di quelli presi di mira lavora nel crypto o nella finanza blockchain, e il 45% sono fondatori o CEO. La tempistica degli attacchi corrispondeva anche alle ore lavorative in Nord Corea.
BlueNoroff è un sottogruppo del Lazarus Group. Cryptopolitan ha riportato in precedenza che Lazarus ha preso di mira banche e aziende crypto con un trojan RemotePE senza file, utilizzando esche simili su Telegram e scheduler falsi.
Non limitarti a leggere le notizie sulle criptovalute. Comprendile. Iscriviti alla nostra newsletter. È gratuita.
Domande frequenti
Chi sta dietro agli attacchi con falsi meeting su Zoom e Teams?
È BlueNoroff, un sottogruppo finanziariamente motivato del Gruppo nordcoreano Lazarus. I ricercatori collegano questo gruppo a numerosi furti di criptovalute finalizzati a finanziare lo Stato nordcoreano.
Come avviene il furto di criptovalute tramite l'attacco?
La pagina dell'incontro fasullo scansiona prima il browser della vittima alla ricerca di portafogli. Un operatore quindi attiva un falso prompt di aggiornamento software che esegue un comando ClickFix, installando malware in grado di rubare le credenziali dei portafogli, i dati di sistema e i file Telegram su Windows o macOS.
Quante persone sono state prese di mira?
Arctic Wolf ha identificato oltre 100 vittime in più di 20 paesi, con il 41% negli Stati Uniti. Circa l'80% lavorava nel settore delle criptovalute o della finanza blockchain, e il 45% erano fondatori o CEO.
Disclaimer. Le informazioni fornite non costituiscono consulenza finanziaria. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti basati sulle informazioni presenti in questa pagina. Si raccomanda vivamente di effettuare ricerche autonome e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Randa Moses
Randa Moses è un'editor e giornalista presso Cryptopolitan, dove si occupa di tecnologia, intelligenza artificiale, robotica, criptovalute, truffe e hacking. Opera nel settore delle criptovalute dal 2017. Ha ricoperto ruoli in Forward Protocol, AmaZix e Cryptosomniac. Randa è laureata in Ingegneria Elettrica ed Elettronica presso l'Università di Bradford.
