- 보안 기업 JUMPSEC은 북한 BlueNoroff가 가짜 Zoom 및 Teams 화상회의를 통해 암호화폐 지갑을 프로파일링한 후, Windows 및 macOS 사용자의 고가치 표적에게 선택적으로 악성코드를 감염시킨 것을 발견했습니다.
- 이번 캠페인은 20 개 이상의 국가에서 100 명 이상의 피해자를 발생시켰으며, 이 중 41% 는 미국에 위치해 있고 표적의 45% 는 창업자나 CEO 입니다.
- 라자루스 그룹 산하인 BlueNoroff 는 피싱 키트를 지속적으로 수정하고 있으며, JUMPSEC 은 4 월 22 일부터 7 월 15 일 사이에만 4 가지 macOS 변종을 확인했습니다.
북한 해킹 그룹은 공격하기 전에 암호화폐 지갑을 스크리닝합니다. 이 그룹은 피해자를 가짜 줌 및 마이크로소프트 팀즈 미팅으로 유인합니다.
영국 보안 기업 JUMPSEC은 이번 주 소스 코드 분석을 공개했습니다. BlueNoroff의 작전은 개인 키를 보유한 사람들을 표적으로 삼습니다. 단 한 사람이 잘못된 프롬프트를 클릭하기만 하면 됩니다.
BlueNoroff, 감염 대상 선택 전 암호화폐 지갑 스크리닝
JUMPSEC은 운영자가 라이브 인프라에 자바스크립트 소스 맵을 노출시킨 후 키트의 실제 소스 코드를 검색할 수 있었습니다.
이 파일들은 대상이 가짜 미팅 페이지에 접속하는 즉시 대상의 브라우저를 스캔하는 워크플로우를 설명합니다. JUMPSEC은 이 키트가 Ethereum 연결을 EIP-6963 표준 및 레거시 브라우저 기술과 함께 찾는 것을 발견했습니다.
또한 솔라나 도구와 같은 비-EVM 지갑도 탐색합니다. 결과는 운영자 대시보드로 직접 전송됩니다. 그리고 통화 중인 사람은 아무런 프롬프트나 경고도 받지 못합니다.
Windows 컴퓨터의 악성코드에는 Chrome, Edge, Brave, Opera, Vivaldi, Firefox의 브라우저 확장 프로그램 ID 목록이 포함되어 있습니다. 해커들은 이 ID를 사용하여 MetaMask와 같은 알려진 지갑 확장 프로그램과 대조합니다.
공격자는 각 지갑을 확인하고 전체 침입 가치가 있는 지갑을 결정한 후 해당 대상에게 페이로드를 보낼 수 있습니다. 미끼는 피해자가 타인에 대해 이미 가지고 있는 신뢰를 기반으로 합니다.
공격자는 암호화폐 연락처의 텔레그램 계정을 탈취하고 가짜 미팅 도메인으로 설득력 있는 캘린들리(Calendly) 초대를 보냅니다. 탈취된 각 계정은 해당 연락처의 자신의 암호화폐 연락처로 이어지며, 이들은 다음 라운드의 표적이 됩니다.
비디오 통화가 시작되자마자 페이지는 이름과 웹캠 접근 권한을 요청합니다. 그런 다음 카메라 피드를 백그라운드에서 공격자의 패널로 전송합니다.
피해자는 '다른 참가자를 기다리는 중'이라는 화면을 본 다음, 운영자가 사전 녹화된 비디오를 재생하고 피해자에게 '마이크가 작동하지 않는 것 같습니다'라고 말합니다. 그 후 가짜 '줌 SDK 업데이트' 메시지가 팝업됩니다.
JUMPSEC에 따르면 통화 중인 얼굴은 실제가 아닙니다. 공격자들은 이전에 촬영된 미팅에서 포착된 몸동작에 AI 생성 헤드샷을 합성합니다.
가짜 팀즈 미팅 페이지에는 이모지 반응, 장치 설정, 배경 효과 및 지갑 스캔 기능이 포함되어 있습니다. JUMPSEC은 노출된 코드 내에서 미완성된 구글 미트 클론도 발견했습니다.
모든 운영 체제에는 전용 악성코드 페이로드가 있습니다
Windows에서 복사된 ClickFix 명령은 작은 PowerShell 로더를 실행하여 VBScript를 다운로드합니다. 그런 다음 Microsoft Defender 제외 항목을 추가하고 Defender를 다시 시작하여 변경 사항을 영구적으로 적용합니다.
페이로드는 시스템 정보를 수집하고 브라우저에서 지갑 확장 프로그램을 검색합니다. 또한 텔레그램 웹 파일도 검색합니다. 그리고 연구자들이 완전히 복구하지 못한 후속 페이로드를 받을 수도 있습니다.
해커들은 macOS에서 스틸러가 조용히 실행되는 동안 가짜 줌 또는 팀즈 설치 프로그램을 다운로드합니다. 이는 시스템 데이터와 애플의 키체인에서 크롬 마스터 키를 훔쳐 텔레그램을 통해 전송합니다.
보안 연구자들은 4월 22일부터 7월 15일까지 4개의 macOS 버전을 발견했습니다. Arctic Wolf와 JUMPSEC은 5월 31일부터 7월 14일까지 5개의 피싱 키트 버전이 배포되었으며, 5분 이내에 완전한 침해가 발생했음을 발견했습니다.
Arctic Wolf의 연구는 20개국 이상에서 100명 이상의 피해자를 확인했으며, 이 중 41%가 미국에 있었습니다. 4월, Arctic Wolf는 2025년 말 이후 등록된 80개 이상의 타이포스쿼팅 미팅 도메인을 집계했습니다.
표적의 약 80%는 암호화폐 또는 블록체인 금융 분야에서 일하며, 45%는 창업자 또는 CEO입니다. 공격의 시기는 또한 북한의 업무 시간과 일치했습니다.
BlueNoroff는 라자루스 그룹의 하위 그룹입니다. Cryptopolitan은 라자루스가 유사한 텔레그램 및 가짜 스케줄러 미끼를 사용하여 파일리스 원격PE 트로이목마로 은행과 암호화폐 기업을 표적으로 삼았다고 이전에 보도했습니다.
암호화폐 뉴스를 단순히 읽는 것을 넘어, 이해하세요. 뉴스레터에 구독하세요. 무료입니다.
자주 묻는 질문
가짜 Zoom 및 Teams 공격의 배후는 누구입니까?
배후는 북한의 라자루스 그룹 소속이자 금전적 동기를 가진 BlueNoroff 입니다. 연구진들은 해당 그룹이 북한 정권을 자금 지원하기 위한 수많은 암호화폐 절도 사건과 연관이 있다고 보고 있습니다.
공격자는 어떻게 암호화폐를 탈취합니까?
가짜 회의 페이지는 먼저 피해자의 브라우저에서 지갑을 스캔합니다. 이후 운영자가 소프트웨어 업데이트 위장의 가짜 알림을 실행하여 ClickFix 명령어를 수행하게 하고, 이를 통해 Windows 또는 macOS 환경에서 지갑 자격증거, 시스템 데이터 및 Telegram 파일을 탈취하는 악성코드가 설치됩니다.
얼마나 많은 사람이 표적이 되었습니까?
Arctic Wolf 는 20 개 이상의 국가에서 100 명 이상의 피해자를 확인했으며, 이 중 41% 가 미국에 위치해 있습니다. 약 80% 는 암호화폐 또는 블록체인 금융 분야에서 근무했고, 45% 는 창업자나 CEO 였습니다.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com은 이 페이지에 제공된 정보를 기반으로 이루어진 모든 투자에 대해 책임을 지지 않습니다. 어떤 투자 결정을 내리기 전에 독립적인 조사나 자격을 갖춘 전문가와의 상담을 강력히 권장합니다.
란다 모세스
란다 모세스는 Cryptopolitan의 편집자이자 기자로, 기술, AI, 로봇공학, 암호화폐, 사기 및 해킹을 담당합니다. 그녀는 2017년부터 암호화폐 분야에서 활동해 왔으며, 포워드 프로토콜, 아마직스, 크립토소니아크에서 역할을 수행했습니다. 란다는 브래드포드 대학교에서 전기전자공학을 전공했습니다.
