- セキュリティ企業JUMPSECは、北朝鮮のBlueNoroffが偽のZoomおよびTeams通話で暗号通貨ウォレットのプロファイルを収集し、その後WindowsおよびmacOS上の高価値ターゲットを標的に感染させることを発見しました。
- このキャンペーンでは20カ国以上で100人以上の被害者が確認されており、その41%が米国に、標的の45%が創業者またはCEOでした。
- Lazarus GroupのサブグループであるBlueNoroffはフィッシングキットを絶えず改訂しており、JUMPSECによると4月22日から7月15日までの間にmacOS版が4種類確認されています。
北朝鮮のハッキング集団は攻撃前に暗号ウォレットをスキャンします。このグループは、被害者を偽のZoomやMicrosoft Teamsの通話に誘い込みます。
イギリスのセキュリティ企業JUMPSECは先週、ソースコードの分析を公開しました。BlueNoroffの作戦は秘密鍵を保有する人々を対象としています。攻撃は、誰かが誤ったプロンプトをクリックするだけで成立します。
BlueNoroffは感染させる対象を選ぶ前に暗号ウォレットをスキャンする
JUMPSECは、運用者がライブインフラストラクチャ上でJavaScriptのソースマップを公開したままにした後、キットの真のソースコードを取得することに成功しました。
ファイルは、ターゲットが偽のミーティングページに到着した瞬間にターゲットのブラウザをスキャンするワークフローを記述しています。JUMPSECは、キットがEIP-6963標準およびレガシーブラウザ技術でEthereum接続を探すことを見つけました。
また、Solanaなどの非EVMウォレットもプローブします。その結果はオペレーターのダッシュボードに直接送信されます。そして、通話中の人はプロンプトや警告を受け取りません。
Windowsコンピュータのマルウェアには、Chrome、Edge、Brave、Opera、Vivaldi、Firefoxのブラウザ拡張機能IDのリストが含まれています。ハッカーはその後、これらのIDを使用してMetaMaskなどの既知のウォレット拡張機能と照合します。
攻撃者は各ウォレットを確認し、完全な侵入に値するものを選別し、その後、それらのターゲットにペイロードを送信します。この囮は、被害者が他者に対して既に持っている信頼に基づいています。
攻撃者は暗号コンタクトのTelegramアカウントを乗っ取り、偽の会議ドメインへの説得力のあるCalendly招待を送信します。乗っ取られたアカウントごとに、そのコンタクト自身の暗号コンタクトが次のターゲットの輪になります。
ビデオ通話が開始されると、ページは名前とウェブカメラへのアクセスを要求します。その後、カメラの映像はバックグラウンドで攻撃者のパネルに送信されます。
被害者はその後、「他の参加者を待機中」と表示された画面を見ます。その後、オペレーターは事前に録画されたビデオを再生し、「マイクが機能していないようです」と被害者に伝えます。その後、偽の「Zoom SDKアップデート」メッセージがポップアップします。
通話中の顔は本物ではありません。JUMPSECによると、攻撃者はAI生成の顔写真を、以前の会議で撮影された体の動きに合成しています。
偽のTeams会議ページには、絵文字リアクション、デバイス設定、背景エフェクト、ウォレットスキャンが含まれています。JUMPSECは、公開されたコード内に未完成のGoogle Meetのクローンも発見しました。
すべてのオペレーティングシステムには専用のマルウェアペイロードがある
Windowsでは、コピーされたClickFixコマンドが小さなPowerShellローダーを起動し、VBScriptをダウンロードします。その後、Microsoft Defenderの除外設定を追加し、Defenderを再起動して変更を恒久的にします。
このペイロードはシステム情報を収集し、ブラウザ内のウォレット拡張機能を検索します。また、Telegram Webファイルも検索します。さらに、研究者が完全に回収できなかった後続のペイロードを受信する能力もあります。
ハッカーはmacOS上でステラーが静かに実行されている間に、偽のZoomまたはTeamsインストーラーを配置します。これはシステムデータとAppleのキーチェーンからのChromeマスターキーを盗み、Telegram経由で送信します。
セキュリティ研究者は、4月22日から7月15日の間に4つのmacOSバージョンを見つけました。Arctic WolfとJUMPSECは、5月31日から7月14日の間に5つのフィッシングキットバージョンが出荷され、完全な侵害が5分以内に完了したことを見つけました。
Arctic Wolfの研究により、20カ国以上で100人以上の被害者が特定されました。そのうち41%が米国に所在しています。4月、Arctic Wolfは2025年後半以降に登録された80件以上のタイポスクワット会議ドメインを計上しました。
標的となった人の約80%が暗号またはブロックチェーン金融で働いており、45%が創業者またはCEOです。攻撃のタイミングは北朝鮮の営業時間とも一致していました。
BlueNoroffはラーハス・グループのサブグループです。Cryptopolitan は以前、ラーハス・グループがファイルレスのRemotePEトロイの木馬を使用して銀行や暗号資産企業を標的にし、Telegramや偽のスケジューラーを囮として使用したと報告しました。
これをお読みいただいているあなたは、すでに一歩先を行っています。当社のニュースレターでその先を行ってください。
よくある質問
偽のZoomおよびTeams攻撃の背後にいるのは誰か？
これらは北朝鮮のLazarus Groupの資金目的を持つサブグループであるBlueNoroffによるものです。研究者たちは、このグループが北朝鮮国家の資金調達を狙った多数の暗号通貨盗難事件に関与していると関連付けています。
この攻撃は暗号資産をどのように盗むのか？
偽の会議ページはまず被害者のブラウザからウォレットを検出します。その後、オペレーターが偽のソフトウェア更新プロンプトをトリガーしてClickFixコマンドを実行し、WindowsまたはmacOS上でウォレット認証情報、システムデータ、Telegramファイルを窃取するマルウェアをインストールします。
どのくらいの数が標的とされたのか？
Arctic Wolfは20カ国以上で100人以上の被害者を特定しており、その41%が米国に所在していました。約80%が暗号通貨またはブロックチェーン金融業界で働いており、45%が創業者またはCEOでした。
免責事項。 本情報は取引助言ではありません。Cryptopolitan.com は、本ページに記載された情報に基づいて行われた投資に対して一切の責任を負いません。投資判断を下す前に、独自の調査を行うか、資格を有する専門家にご相談することを強く推奨します。
ランダ・モーゼス
ランダ・モーゼスはCryptopolitanのエディター兼記者で、テクノロジー、AI、ロボティクス、暗号資産、詐欺、ハッキングなどを担当しています。2017年以来暗号資産分野で活動しており、Forward Protocol、AmaZix、Cryptosomniacで役職を務めました。ブラッドフォード大学で電気電子工学の学位を取得しています。
