BlueNoroff-Hacker nutzen gefälschte Zoom-Anrufe, um Krypto-Wallets zu leeren, während eine andere nordkoreanische Gruppe dabei erwischt wird, ihre eigene Zentralbank zu hacken.
Nordkoreanische Hacker haben einen neuen Weg in Krypto-Wallets gefunden, und er beginnt mit einem Videoanruf.
Das Cybersicherheitsunternehmen JUMPSEC hat eine Phishing-Operation von BlueNoroff aufgedeckt, einer mit Nordkorea verbundenen Hackergruppe. Die Masche lockt Krypto-Profis in gefälschte Zoom- und Microsoft-Teams-Meetings.
Die Angreifer kapern Telegram-Konten von Personen, denen die Opfer bereits vertrauen, und senden dann über diese Konten Meeting-Einladungen. Sobald sie sich in dem gefälschten Anruf befinden, werden die Opfer gebeten, ihre Webcam einzuschalten, ohne zu wissen, dass das gesamte Setup inszeniert ist.
JUMPSEC sagt, die Gruppe habe versehentlich ihren eigenen JavaScript-Quellcode offengelegt. Dieser Fehler gab Forschern einen seltenen Einblick in die Funktionsweise der Masche.
Wie der gefälschte Meeting-Betrug funktioniert
Laut JUMPSEC beginnt der Angriff in dem Moment, in dem ein vertrauenswürdiger Telegram-Kontakt einen Meeting-Link sendet. Dieser Link führt zu einer nachgeahmten Domain, die Zoom oder Teams imitieren soll.
Opfer, die dem Anruf beitreten, sehen möglicherweise vorab aufgezeichnete Teilnehmer auf dem Bildschirm, während ein Operator ihren Live-Kamerafeed beobachtet.
JUMPSEC fand heraus, dass die Teams-Version des Kits überzeugender wirkt als die Zoom-Version. Sie enthält gefälschte Geräteeinstellungen, Emoji-Reaktionen und virtuelle Hintergründe, um die Illusion zu untermauern.
Bevor Malware ins Spiel kommt, scannt die Plattform leise den Browser des Opfers. Sie prüft auf Wallet-Erweiterungen, die mit Ethereum, Solana und anderen Blockchain-Netzwerken verbunden sind.
Dieser Schritt ermöglicht es BlueNoroff, Ziele mit geringem Wert auszusortieren und sich nur auf Personen zu konzentrieren, die es wert sind, weiter angegriffen zu werden, so JUMPSECs Erkenntnisse.
North Korea-Linked BlueNoroff Uses Fake Zoom and Teams Meetings to Target Crypto Users
Cybersecurity firm JUMPSEC said North Korea-linked hacking group BlueNoroff is targeting crypto professionals through fake Zoom and Microsoft Teams meetings. Attackers use hijacked Telegram… pic.twitter.com/Tz1hcbjlRE
— Wu Blockchain (@WuBlockchain) July 26, 2026
Wallet-Scanning führt zu einem gefälschten Software-Update
Sobald der Scan abgeschlossen ist, werden die Opfer aufgefordert, ein gefälschtes „SDK-Update“ für Zoom oder Teams zu installieren. Ein Klick darauf löst aus, was Forscher einen ClickFix-Angriff nennen.
Das Opfer wird dazu verleitet, Befehle auszuführen, von denen es glaubt, dass sie einen technischen Fehler beheben. JUMPSEC dokumentierte separate Infektionspfade für Windows- und macOS-Benutzer.
Auf Windows-Rechnern startet das Update PowerShell-Skripte, die weitere Malware herunterladen. Diese Skripte sammeln auch Systemdetails und suchen speziell nach Telegram-Daten und Browser-Wallet-Erweiterungen.
Mac-Benutzer laden stattdessen herunter, was wie ein normales Zoom- oder Teams-Installationsprogramm aussieht. Ein Second-Stage-Stealer lädt dann leise im Hintergrund, während die gefälschte App scheinbar normal installiert wird.
Gestohlene Daten umfassen Wallets und Telegram-Sitzungen
Einmal aktiv, zieht die Malware eine breite Palette von Informationen aus dem infizierten Gerät. JUMPSEC berichtet, dass sie Browser-Anmeldedaten, Chrome-Masterkeys und vollständige Telegram-Sitzungen erfassen kann.
Auch Kryptowährungs-Wallet-Daten und allgemeine Systeminformationen werden bei diesem Vorgang eingesammelt. Da auch Telegram-Sitzungen gestohlen werden, können Angreifer das gekaperte Konto möglicherweise wiederverwenden, um als Nächstes die eigenen Kontakte des Opfers ins Visier zu nehmen.
JUMPSEC stellte fest, dass das Phishing-Kit noch aktiv weiterentwickelt wird. Forscher fanden mehrere Versionen der Plattform auf derselben Infrastruktur.
Eine unvollendete Google-Meet-Variante wurde ebenfalls entdeckt, was darauf hindeutet, dass BlueNoroff plant, über Zoom und Teams hinaus zu expandieren.
Die fortgesetzten Upgrades der Teams-Oberfläche deuten auf eine kontinuierliche Verfeinerung hin. Dies sieht nach einer anhaltenden Kampagne aus, nicht nach einer einmaligen Aktion, so JUMPSEC.
Die Erkenntnisse reihen sich ein in eine lange Liste von Social-Engineering-Taktiken, die mit Nordkorea verbundene Gruppen gegen die Krypto-Industrie eingesetzt haben.
Gefälschte Vorstellungsgespräche, gefälschte Investoren und jetzt gefälschte Meeting-Hosts dienten alle als Einstiegspunkte für diese Kampagnen. JUMPSECs Bericht gibt Verteidigern ein klareres Bild davon, wie überzeugend diese gefälschten Anrufe geworden sind.
Nordkoreanische IT-Arbeiter beim Hacken ihrer eigenen Zentralbank erwischt
Auch das eigene Finanzsystem Nordkoreas ist ins Visier geraten, so ein separater Bericht von Daily NK. Eine kriminelle Organisation soll interne Netzwerke der Zentralbank Koreas und der Außenhandelsbank gehackt haben.
Die Gruppe wird beschuldigt, gestohlene Staatsgelder in Kryptowährung umgewandelt zu haben, bevor sie sie über Grenzregionen schmuggelte. Die Behörden haben die Operation Berichten zufolge bei einer Razzia in Pjöngjang am 12. zerschlagen.
Eine Quelle teilte Daily NK mit, dass die Rädelsführer ehemalige Soldaten einer Cyber-Operationseinheit waren. Die Einheit fällt unter die Hauptverwaltung für Aufklärung und Nachrichtendienst.
Nach ihrem Ausscheiden aus dem Militär sollen sie Studenten der Kim-Chaek-Universität für Technologie und der Pjöngjang-Universität für Wissenschaft rekrutiert haben. Die Gruppe soll chinesische Funkgeräte und verschlüsselte Messenger verwendet haben, um der Entdeckung zu entgehen.
Gestohlene Gelder wurden Berichten zufolge in kleine Einheiten aufgeteilt und auf ausländische Krypto-Wallets verschoben. Daily NK berichtet, dass die Coins später über chinesische Makler wieder in Bargeld umgewandelt wurden. Das Bargeld wurde dann in der Nähe von Sinuiju und Hyesan in US-Dollar und Yuan getauscht.
Ermittler gelangten der Spur des Schemas, nachdem sie unregelmäßige Transaktionsaufzeichnungen und ungewöhnliche Übersee-IP-Zugriffe entdeckt hatten.
Der Nationale Nachrichtendienst soll starken Krypto-Verkehr zu einem Haus in Pjöngjang zurückverfolgt haben. Das Haus wurde in der Nacht des 12. überfallen, so der Bericht.
Rädelsführer und IT-Personal wurden vor Ort festgenommen, und Computerausrüstung und Wegwerfhandys wurden beschlagnahmt.
Schreibe einen Kommentar