Nordkoreas BlueNoroff kapert Zoom-Anrufe, um Krypto-Wallets zu leeren

Eine nordkoreanische Hackergruppe durchsucht Krypto-Wallets, bevor sie zuschlägt. Die Gruppe lockt ihre Opfer in gefälschte Zoom- und Microsoft-Teams-Anrufe.

Das britische Sicherheitsunternehmen JUMPSEC veröffentlichte diese Woche die Quellcodeanalyse. Die Operation von BlueNoroff zielt auf Personen ab, die im Besitz privater Schlüssel sind. Es genügt, wenn eine einzige Person die falsche Eingabeaufforderung anklickt.

BlueNoroff überprüft Krypto-Wallets, bevor es entscheidet, wen es infiziert

JUMPSEC konnte den eigentlichen Quellcode des Kits wiederherstellen, nachdem die Betreiber JavaScript-Quellzuordnungen auf der Live-Infrastruktur ungeschützt gelassen hatten.

Die Dateien beschreiben einen Workflow, der den Browser eines Ziels scannt, sobald dieser die gefälschte Meeting-Seite aufruft. JUMPSEC stellte fest, dass das Kit mithilfe des EIP-6963-Standards und älterer Browsertechniken nach Ethereum Verbindungen sucht

Es sucht auch nach Nicht-EVM-Wallets wie Solana Tools. Die Ergebnisse werden direkt an das Dashboard des Betreibers übermittelt. Der Gesprächspartner erhält dabei weder eine Benachrichtigung noch eine Warnung.

Die Schadsoftware auf Windows-Computern enthält eine Liste mit Browser-Erweiterungs-IDs für Chrome, Edge, Brave, Opera, Vivaldi und Firefox. Hacker verwenden diese IDs dann, um sie mit bekannten Wallet-Erweiterungen wie MetaMask abzugleichen.

Angreifer können jede Wallet überprüfen, entscheiden, welche einen vollständigen Einbruch lohnen, und dann Schadsoftware an diese Ziele senden. Der Köder basiert auf dem bestehenden Vertrauen des Opfers in eine andere Person.

Angreifer übernehmen den Telegram-Account eines Krypto-Kontakts und versenden eine überzeugende Calendly-Einladung zu einer gefälschten Meeting-Domain. Jeder übernommene Account führt zu den Krypto-Kontakten dieses Kontakts, die dann die nächsten Ziele darstellen.

Sobald der Videoanruf beginnt, fragt die Seite nach einem Namen und dem Zugriff auf die Webcam. Anschließend sendet sie das Kamerabild an das Bedienfeld des Angreifers im Hintergrund.

Die Opfer sehen dann einen Bildschirm mit der Meldung „Warten auf andere Teilnehmer“. Anschließend spielt der Operator ein vorab aufgezeichnetes Video ab und sagt zum Opfer: „Ihr Mikrofon funktioniert nicht.“ Danach erscheint eine gefälschte Meldung über ein „Zoom SDK-Update“.

Laut JUMPSEC ist das Gesicht im Anruf nicht echt. Angreifer fügen KI-generierte Kopfbilder auf Körperbewegungen zusammen, die in früheren Besprechungen aufgezeichnet wurden.

Die gefälschte Teams-Besprechungsseite enthielt Emoji-Reaktionen, Geräteeinstellungen, Hintergrundeffekte und eine Wallet-Scan-Funktion. JUMPSEC entdeckte im aufgedeckten Code außerdem einen unvollständigen Google Meet-Klon.

Jedes Betriebssystem verfügt über spezifische Malware-Payloads

Unter Windows startet der kopierte ClickFix-Befehl einen kleinen PowerShell-Loader, der ein VBScript herunterlädt. Anschließend wird eine Ausnahme für Microsoft Defender hinzugefügt und Defender neu gestartet, um die Änderung dauerhaft zu speichern.

Die Schadsoftware sammelt Systeminformationen und sucht in Browsern nach Wallet-Erweiterungen. Sie durchsucht außerdem Telegram-Webdateien. Darüber hinaus kann sie weitere Schadsoftware empfangen, die Forscher nie vollständig rekonstruieren konnten.

Hacker platzieren eine gefälschte Installationsdatei für Zoom oder Teams auf macOS, während ein Schadprogramm unbemerkt im Hintergrund läuft. Dieses stiehlt Systemdaten und die Chrome-Hauptschlüssel aus Apples Schlüsselbund und versendet sie über Telegram.

Sicherheitsforscher entdeckten vier macOS-Versionen aus dem Zeitraum vom 22. April bis zum 15. Juli. Arctic Wolf und JUMPSEC fanden fünf Phishing-Kit-Versionen, die zwischen dem 31. Mai und dem 14. Juli ausgeliefert wurden und eine vollständige Kompromittierung in weniger als fünf Minuten ermöglichten.

Die Recherchen von Arctic Wolfdentüber 100 Opfer in mehr als 20 Ländern, darunter 41 % in den USA. Im April zählte Arctic Wolf über 80 seit Ende 2025 registrierte, typosquatte Meeting-Domains.

Etwa 80 % der Betroffenen arbeiten im Krypto- oder Blockchain-Finanzsektor, 45 % sind Gründer oder CEOs. Die Angriffe fielen zeitlich mit den Geschäftszeiten in Nordkorea zusammen.

BlueNoroff ist eine Untergruppe der Lazarus-Gruppe. Cryptopolitan berichtete bereits, dass Lazarus Banken und Kryptofirmen mit einem dateilosen RemotePE-Trojaner ins Visier nahm und dabei ähnliche Köder wie Telegram und gefälschte Terminplaner verwendete.

Lesen Sie Krypto-News nicht nur, sondern verstehen Sie sie. Abonnieren Sie unseren Newsletter. Er ist kostenlos.