朝鲜的BlueNoroff劫持Zoom通话以盗取加密货币钱包资金

一个朝鲜黑客组织在发动攻击前会检查加密货币钱包。该组织诱骗受害者进行虚假的Zoom和Microsoft Teams通话。.

英国安全公司JUMPSEC本周公布了源代码分析报告。BlueNoroff的攻击目标是持有私钥的人。只需要一个人点击错误的提示即可。.

BlueNoroff会在选择感染对象之前对加密钱包进行筛查。

JUMPSEC 在运营者将 JavaScript 源代码映射暴露在运行中的基础设施上后，成功获取了该工具包的真实源代码。.

这些文件描述了一种工作流程，该流程会在目标用户访问虚假会议页面后立即扫描其浏览器。JUMPSEC 发现，该工具包会使用 EIP-6963 标准和传统浏览器技术来查找Ethereum连接。

它还会探测非EVM钱包，例如 Solana 工具。探测结果会直接推送至操作员控制面板。通话中的用户不会收到任何提示或警告。.

Windows 电脑上的恶意软件包含 Chrome、Edge、Brave、Opera、Vivaldi 和 Firefox 等浏览器扩展程序的 ID 列表。黑客随后利用这些 ID 与 MetaMask 等已知的钱包扩展程序进行比对。.

攻击者可以检查每个钱包，决定哪些钱包值得彻底入侵，然后向这些目标发送恶意代码。诱饵是利用受害者对其他人的信任。.

攻击者会接管加密货币领域联系人的 Telegram 账户，并向其发送看似可信的 Calendly 会议邀请，邀请链接指向一个虚假的会议域名。每个被劫持的账户都会指向该联系人的其他加密货币领域联系人，这些人将成为下一轮攻击目标。.

视频通话一开始，页面就会要求输入姓名并授予摄像头访问权限。然后，它会在后台将摄像头画面发送到攻击者的控制面板。.

受害者随后会看到屏幕上显示“正在等待其他参与者”。然后操作员播放一段预先录制的视频，并对受害者说：“你的麦克风无法工作。”之后，会弹出一条虚假的“Zoom SDK 更新”消息。.

据JUMPSEC称，通话中出现的脸部图像并非真实存在。攻击者将人工智能生成的头像拼接到之前会议中捕捉到的身体动作上。.

这个伪造的 Teams 会议页面包含了表情符号反应、设备设置、背景效果和钱包扫描功能。JUMPSEC 还在泄露的代码中发现了一个不完整的 Google Meet 克隆版本。.

每个操作系统都有专门的恶意软件有效载荷。

在 Windows 系统中，复制的 ClickFix 命令会启动一个小型 PowerShell 加载程序，该程序会下载一个 VBScript 脚本。然后，它会将 Microsoft Defender 添加到排除列表中，并重启 Defender 以使更改永久生效。.

该有效载荷会收集系统信息，并在浏览器中搜索钱包扩展程序。它还会搜索 Telegram Web 文件。此外，它还能接收研究人员始终未能完全恢复的后续有效载荷。.

黑客会在 macOS 系统上植入伪造的 Zoom 或 Teams 安装程序，同时一个窃取程序会在后台静默运行。该程序会从苹果的“钥匙串”中窃取系统数据和 Chrome 主密钥，并通过 Telegram 发送出去。.

安全研究人员在 4 月 22 日至 7 月 15 日期间发现了四个 macOS 版本。Arctic Wolf 和 JUMPSEC 发现了 5 月 31 日至 7 月 14 日期间发布的五个网络钓鱼工具包版本，这些工具包在不到五分钟的时间内就完全攻破了系统。

Arctic Wolf 的研究dent，超过 20 个国家/地区有 100 多名受害者，其中 41% 在美国。今年 4 月，Arctic Wolf 统计到自 2025 年底以来，已有超过 80 个拼写错误抢注的会议域名被注册。.

约80%的攻击目标从事加密货币或区块链金融行业，其中45%是创始人或首席执行官。攻击时间也与朝鲜的营业时间相吻合。.

是Lazarus集团的一个子组织。Cryptopolitan Cryptopolitan 报道称 ，Lazarus利用无文件RemotePE木马程序，以类似的Telegram和虚假调度程序诱饵，攻击银行和加密货币公司。

不要只是阅读加密货币新闻，要理解它。订阅我们的新闻简报， 完全免费。