- 安全公司JUMPSEC发现，朝鲜的BlueNoroff在伪造的Zoom和Teams会议中锁定加密钱包，随后针对Windows和macOS系统上的高价值目标进行选择性感染。
- 该活动已造成全球20多个国家的100多名受害者受害，其中41%位于美国，45%的目标为创始人或首席执行官。
- 作为劳动组（Lazarus Group）的一个分支，BlueNoroff不断调整其钓鱼工具包；仅从4月22日至7月15日，JUMPSEC就发现了四种macOS变体。
一个朝鲜黑客团队在发动攻击前会筛查加密钱包。该团伙欺骗受害者进入虚假的 Zoom 和 Microsoft Teams 通话。
英国安全公司 JUMPSEC 本周发布了源代码分析。BlueNoroff 的行动针对持有私钥的人群。它只需要一个人点击错误的提示即可。
BlueNoroff 在选择感染目标前会筛查加密钱包
在操作者将 JavaScript 源代码映射暴露在实时基础设施上后，JUMPSEC 成功获取了该工具包的真实源代码。
这些文件描述了一个工作流程，一旦目标用户进入假冒会议页面，该流程就会扫描其浏览器。JUMPSEC 发现该工具包寻找符合 EIP-6963 标准的 以太坊 连接以及传统的浏览器技术。
它还会探测 Solana 工具等非 EVM 钱包。结果会直接推送到操作者仪表板。而通话中的人永远不会收到提示或警告。
Windows 计算机上的恶意软件包含 Chrome、Edge、Brave、Opera、Vivaldi 和 Firefox 的浏览器扩展 ID 列表。黑客随后使用这些 ID 来检查已知的钱包扩展，如 MetaMask。
攻击者可以检查每个钱包，决定哪些值得进行完全入侵，然后向这些目标发送有效载荷。诱饵基于受害者对某人的现有信任。
攻击者接管加密联系人的 Telegram 账户，并向假冒会议域名发送令人信服的 Calendly 邀请。每个被劫持的账户都会导致该联系人的其他加密联系人成为下一轮目标。
视频通话一开始，页面就会要求输入姓名和摄像头访问权限。然后它会在后台将摄像头画面发送给攻击者的面板。
受害者随后会看到一个显示“等待其他参与者”的屏幕。然后操作者播放预录视频并对受害者说：“你的麦克风坏了。”之后，会弹出一条假的“Zoom SDK 更新”消息。
根据 JUMPSEC 的说法，通话中的人脸并非真实。攻击者将 AI 生成的头像缝合到之前会议中捕捉到的身体动作上。
假冒的 Teams 会议页面包括表情符号反应、设备设置、背景效果和钱包扫描。JUMPSEC 还在暴露的代码中发现了一个不完整的 Google Meet 克隆。
每个操作系统都有专用的恶意软件有效载荷
在 Windows 上，复制的 ClickFix 命令启动一个小型 PowerShell 加载器，下载 VBScript。然后它添加 Microsoft Defender 排除项并重启 Defender，以使更改永久生效。
该有效载荷收集系统信息并搜索浏览器中的钱包扩展。它还搜索 Telegram Web 文件。并且它可以接收研究人员从未完全恢复的后续有效载荷。
黑客在 macOS 上投放虚假的 Zoom 或 Teams 安装程序，同时窃贼在后台静默运行。它窃取系统数据和 Apple Keychain 中的 Chrome 主密钥，并通过 Telegram 发送。
安全研究人员发现了 4 月 22 日至 7 月 15 日期间的 macOS 版本。Arctic Wolf 和 JUMPSEC 发现 5 月 31 日至 7 月 14 日期间发布了五个钓鱼工具包版本，完全入侵可在五分钟内完成。
Arctic Wolf 的研究确定了 20 多个国家的 100 多名受害者，其中 41% 在美国。4 月，Arctic Wolf 统计自 2025 年底以来注册的 80 多个仿冒会议域名。
约 80% 的目标在加密或区块链金融领域工作，45% 是创始人或首席执行官。攻击的时间也与朝鲜的工作时间相对应。
BlueNoroff 是 Lazarus Group 的一个子组。Cryptopolitan 此前报道，Lazarus 使用无文件 RemotePE 木马针对银行和加密公司，使用了类似的 Telegram 和虚假调度器诱饵。
如果您正在阅读这篇文章，说明您已经领先一步。请继续通过我们的通讯保持关注。
常见问题
谁在幕后策划了这些伪造的Zoom和Teams攻击？
BlueNoroff是幕后黑手，这是朝鲜劳动组下属的一个以经济利益为动机的分支。研究人员将该组织与多次旨在为朝鲜国家筹集资金的加密货币盗窃案联系起来。
该攻击如何窃取加密货币？
伪造的会议页面首先扫描受害者的浏览器以查找钱包。随后，操作员触发一个虚假的软件更新提示，执行ClickFix命令，从而安装恶意软件，在Windows或macOS上窃取钱包凭证、系统数据及Telegram文件。
有多少人受到了 targeting？
Arctic Wolf确认全球20多个国家的100多名受害者受到影响，其中41%位于美国。约80%的受害者从事加密货币或区块链金融行业，45%为创始人或首席执行官。
免责声明。 所提供的信息不构成交易建议。Cryptopolitan.com 对基于本页信息进行的任何投资不承担任何责任。我们强烈建议在做出任何投资决策之前进行独立研究或咨询合格的专业人士。
Randa Moses
Randa Moses 是 Cryptopolitan 的编辑兼记者，专注于科技、人工智能、机器人技术、加密货币、诈骗及黑客攻击等领域的报道。自 2017 年以来，她一直活跃于加密货币领域，曾担任 Forward Protocol、AmaZix 和 Cryptosomniac 等公司的职务。Randa 拥有布拉德福德大学电气工程与电子工程学位。
