朝鮮的BlueNoroff劫持Zoom通話以盜取加密貨幣錢包資金

一個朝鮮黑客組織在發動攻擊前會檢查加密貨幣錢包。該組織誘騙受害者進行虛假的Zoom和Microsoft Teams通話。.

英國安全公司JUMPSEC本週公佈了源代碼分析報告。BlueNoroff的攻擊目標是持有私鑰的人。只需要一個人點擊錯誤的提示即可。.

BlueNoroff會在選擇感染對象之前對加密錢包進行篩查。

JUMPSEC 在運營者將 JavaScript 源代碼映射暴露在運行中的基礎設施上後，成功獲取了該工具包的真實源代碼。.

這些文件描述了一種工作流程，該流程會在目標用戶訪問虛假會議頁面後立即掃描其瀏覽器。JUMPSEC 發現，該工具包會使用 EIP-6963 標準和傳統瀏覽器技術來查找Ethereum連接。

它還會探測非EVM錢包，例如 Solana 工具。探測結果會直接推送至操作員控制面板。通話中的用戶不會收到任何提示或警告。.

Windows 電腦上的惡意軟件包含 Chrome、Edge、Brave、Opera、Vivaldi 和 Firefox 等瀏覽器擴展程序的 ID 列表。黑客隨後利用這些 ID 與 MetaMask 等已知的錢包擴展程序進行比對。.

攻擊者可以檢查每個錢包，決定哪些錢包值得徹底入侵，然後向這些目標發送惡意代碼。誘餌是利用受害者對其他人的信任。.

攻擊者會接管加密貨幣領域聯繫人的 Telegram 賬戶，並向其發送看似可信的 Calendly 會議邀請，邀請鏈接指向一個虛假的會議域名。每個被劫持的賬戶都會指向該聯繫人的其他加密貨幣領域聯繫人，這些人將成爲下一輪攻擊目標。.

視頻通話一開始，頁面就會要求輸入姓名並授予攝像頭訪問權限。然後，它會在後臺將攝像頭畫面發送到攻擊者的控制面板。.

受害者隨後會看到屏幕上顯示“正在等待其他參與者”。然後操作員播放一段預先錄製的視頻，並對受害者說：“你的麥克風無法工作。”之後，會彈出一條虛假的“Zoom SDK 更新”消息。.

據JUMPSEC稱，通話中出現的臉部圖像並非真實存在。攻擊者將人工智能生成的頭像拼接到之前會議中捕捉到的身體動作上。.

這個僞造的 Teams 會議頁面包含了表情符號反應、設備設置、背景效果和錢包掃描功能。JUMPSEC 還在泄露的代碼中發現了一個不完整的 Google Meet 克隆版本。.

每個操作系統都有專門的惡意軟件有效載荷。

在 Windows 系統中，複製的 ClickFix 命令會啓動一個小型 PowerShell 加載程序，該程序會下載一個 VBScript 腳本。然後，它會將 Microsoft Defender 添加到排除列表中，並重啓 Defender 以使更改永久生效。.

該有效載荷會收集系統信息，並在瀏覽器中搜索錢包擴展程序。它還會搜索 Telegram Web 文件。此外，它還能接收研究人員始終未能完全恢復的後續有效載荷。.

黑客會在 macOS 系統上植入僞造的 Zoom 或 Teams 安裝程序，同時一個竊取程序會在後臺靜默運行。該程序會從蘋果的“鑰匙串”中竊取系統數據和 Chrome 主密鑰，並通過 Telegram 發送出去。.

安全研究人員在 4 月 22 日至 7 月 15 日期間發現了四個 macOS 版本。Arctic Wolf 和 JUMPSEC 發現了 5 月 31 日至 7 月 14 日期間發佈的五個網絡釣魚工具包版本，這些工具包在不到五分鐘的時間內就完全攻破了系統。

Arctic Wolf 的研究dent，超過 20 個國家/地區有 100 多名受害者，其中 41% 在美國。今年 4 月，Arctic Wolf 統計到自 2025 年底以來，已有超過 80 個拼寫錯誤搶注的會議域名被註冊。.

約80%的攻擊目標從事加密貨幣或區塊鏈金融行業，其中45%是創始人或首席執行官。攻擊時間也與朝鮮的營業時間相吻合。.

是Lazarus集團的一個子組織。Cryptopolitan Cryptopolitan 報道稱 ，Lazarus利用無文件RemotePE木馬程序，以類似的Telegram和虛假調度程序誘餌，攻擊銀行和加密貨幣公司。

不要只是閱讀加密貨幣新聞，要理解它。訂閱我們的新聞簡報， 完全免費。