BlueNoroff сканирует крипто-кошельки в поддельных звонках Zoom перед загрузкой вредоносного ПО
- Специалисты компании JUMPSEC обнаружили, что BlueNoroff из Северной Кореи отслеживает криптокошельки в поддельных видеозвонках Zoom и Teams, а затем избирательно заражает высокоценные цели на Windows и macOS.
- В ходе кампании пострадали более 100 жертв в более чем 20 странах: 41% — в США, а 45% целей составляли основатели или генеральные директора.
- BlueNoroff, подразделение группы Lazarus, постоянно обновляет свой фишинговый набор; только с 22 апреля по 15 июля JUMPSEC зафиксировала четыре варианта для macOS.
Северокорейская хакерская группа просматривает крипто-кошельки перед атакой. Группа обманывает жертв, заставляя их участвовать в поддельных звонках Zoom и Microsoft Teams.
На этой неделе британская компания по кибербезопасности JUMPSEC опубликовала анализ исходного кода. Операция BlueNoroff нацелена на людей, владеющих приватными ключами. Ей достаточно, чтобы один человек нажал на неправильный запрос.
BlueNoroff сканирует криптокошельки, прежде чем выбрать жертву для заражения
JUMPSEC смогла извлечь истинный исходный код инструмента, так как его операторы оставили открытыми карты исходного кода JavaScript на рабочей инфраструктуре.
Файлы описывают рабочий процесс, который сканирует браузер цели, как только они попадают на поддельную страницу встречи. JUMPSEC обнаружил, что набор ищет соединения Ethereum со стандартом EIP-6963 и с использованием устаревших методов браузера.
Он также проверяет наличие не-EVM кошельков, таких как инструменты для Solana. Результаты напрямую передаются на панель оператора. При этом человек, находящийся на звонке, никогда не получает никаких запросов или предупреждений.
Вредоносное ПО для компьютеров под управлением Windows содержит список идентификаторов расширений браузеров Chrome, Edge, Brave, Opera, Vivaldi и Firefox. Хакеры затем используют эти идентификаторы для проверки известных расширений кошельков, таких как MetaMask.
Атакующие могут проверить каждый кошелек, решить, какие из них стоят полного взлома, а затем отправить вредоносные пакеты этим целям. Приманка основана на доверии жертвы к другому человеку.
Атакующие захватывают аккаунт криптоконтакта в Telegram и отправляют убедительное приглашение в Calendly на поддельный домен встречи. Каждый захваченный аккаунт приводит к криптоконтактам этого человека, которые становятся следующей волной целей.
Как только видеозвонок начинается, страница запрашивает имя и доступ к веб-камере. Затем она отправляет видеопоток с камеры на панель атакующего в фоновом режиме.
Затем жертвы видят экран с надписью «ожидание других участников». Затем оператор воспроизводит заранее записанное видео и говорит жертве: «У вас не работает микрофон». После этого появляется поддельное сообщение «Обновление SDK Zoom».
Лицо на звонке не настоящее, согласно JUMPSEC. Атакующие накладывают сгенерированные ИИ портреты на движения тела, записанные на предыдущих встречах.
Поддельная страница встречи Teams включает реакции с помощью эмодзи, настройки устройства, фоновые эффекты и сканирование кошельков. JUMPSEC также обнаружила незавершенный клон Google Meet внутри открытого кода.
Для каждой операционной системы существуют выделенные вредоносные пакеты
В Windows скопированная команда ClickFix запускает небольшой загрузчик PowerShell, который загружает VBScript. Затем он добавляет исключение для Microsoft Defender и перезапускает Defender, чтобы сделать изменение постоянным.
Пакет собирает системную информацию и ищет расширения кошельков в браузерах. Он также ищет файлы Telegram Web. И он может получать последующие пакеты, которые исследователям так и не удалось полностью восстановить.
Хакеры устанавливают поддельный установщик Zoom или Teams на macOS, пока стилер работает в фоновом режиме. Он крадет системные данные и мастер-ключи Chrome из хранилища ключей Apple и отправляет их через Telegram.
Исследователи безопасности обнаружили четыре версии macOS с 22 апреля по 15 июля. Arctic Wolf и JUMPSEC обнаружили пять версий фишинговых наборов, выпущенных между 31 мая и 14 июля, с полным компрометацией менее чем за пять минут.
Исследование Arctic Wolf выявило более 100 жертв в более чем 20 странах, включая 41% в Соединенных Штатах. В апреле Arctic Wolf насчитал более 80 доменов для фишинга с опечатками, зарегистрированных с конца 2025 года.
Около 80% из тех, на кого нацелились, работают в сфере криптовалют или блокчейн-финансов, а 45% являются основателями или генеральными директорами. Время атак также совпадало с рабочими часами в Северной Корее.
BlueNoroff — это подгруппа группы Lazarus. Cryptopolitan сообщал ранее, что Lazarus нацеливалась на банки и крипто-фирмы с использованием безфайлового трояна RemotePE, используя аналогичные приманки в Telegram и фальшивый планировщик.
Если вы читаете это, вы уже впереди. Оставайтесь с нами, подписавшись на нашу рассылку.
Часто задаваемые вопросы
Кто стоит за атаками с использованием поддельных Zoom и Teams?
За этим стоит BlueNoroff — финансово мотивированное подразделение северокорейской группы Lazarus. Исследователи связывают эту группу с многочисленными кражами криптовалюты, направленными на финансирование государства Северная Корея.
Как происходит кража криптовалюты в ходе атаки?
Поддельная страница встречи сначала сканирует браузер жертвы в поисках кошельков. Затем оператор запускает ложное уведомление об обновлении ПО, которое выполняет команду ClickFix, устанавливая вредоносное ПО для сбора учетных данных кошельков, системных данных и файлов Telegram на Windows или macOS.
Сколько людей стало целями атаки?
Компания Arctic Wolf выявила более 100 жертв в более чем 20 странах, из которых 41% находилась в США. Около 80% работали в сфере криптовалют или блокчейн-финансов, а 45% были основателями или генеральными директорами.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com не несет ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимые исследования и/или консультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Ранда Моуз
Ранда Мозес — редактор и репортёр Cryptopolitan, освещающая технологии, ИИ, робототехнику, криптовалюты, мошенничество и взломы. Она работает в сфере криптовалют с 2017 года. Ранда занимала должности в Forward Protocol, AmaZix и Cryptosomniac. Ранда имеет степень в области электротехники и электроники, полученную в Университете Брэдфорда.
