Nordkoreas Crypto-Hacks treffen Zoom-Benutzer und seine eigene Bank

BlueNoroff-Hacker verwenden gefälschte Zoom-Anrufe, um Krypto-Wallets zu leeren, während eine andere nordkoreanische Gruppe beim Hacken ihrer eigenen Zentralbank erwischt wird.

Nordkoreanische Hacker haben einen neuen Weg in Krypto-Wallets gefunden und beginnen mit einem Videoanruf. 

Das Cybersicherheitsunternehmen JUMPSEC hat eine Phishing-Operation von BlueNoroff, a., aufgedecktMit Nordkorea verbundene Hackergruppe. Der Plan lockt Krypto-Experten in gefälschte Zoom- und Microsoft-Teams-Meetings. 

Die Angreifer kapern Telegram-Konten von Personen, denen die Opfer bereits vertrauen, und versenden dann Einladungen zu Besprechungen über diese Konten. Sobald die Opfer an dem Fake-Call beteiligt sind, werden sie gebeten, ihre Webcam einzuschalten, ohne zu wissen, dass die gesamte Einrichtung inszeniert ist. 

Laut JUMPSEC hat die Gruppe versehentlich ihren eigenen JavaScript-Quellcode offengelegt. Dieser Fehler ermöglichte den Forschern einen seltenen Einblick in die Funktionsweise des Systems.

Wie der Fake-Meeting-Betrug funktioniert

NachLaut JUMPSEC beginnt der Angriff in dem Moment, in dem ein vertrauenswürdiger Telegram-Kontakt einen Besprechungslink sendet. Dieser Link führt zu einer Lookalike-Domäne, die Zoom oder Teams nachahmt. 

Opfer, die sich dem Anruf anschließen, sehen möglicherweise zuvor aufgezeichnete Teilnehmer auf dem Bildschirm, während ein Operator ihre Live-Kameraübertragung verfolgt. 

JUMPSEC stellte fest, dass die Teams-Version des Kits überzeugender aussieht als die Zoom-Version. Es umfasst gefälschte Geräteeinstellungen, Emoji-Reaktionen und virtuelle Hintergründe, um die Illusion zu verkaufen.

Bevor Malware ins Spiel kommt, scannt die Plattform stillschweigend den Browser des Opfers. Es sucht nach verknüpften Wallet-ErweiterungenEthereum, Solana und andere Blockchain-Netzwerke. 

Dieser Schritt ermöglicht es BlueNoroff, Ziele mit geringem Wert herauszufiltern und sich nur auf Personen zu konzentrieren, die einen weiteren Angriff wert sind, so die Ergebnisse von JUMPSEC.

Das mit Nordkorea verbundene BlueNoroff nutzt Fake-Zoom und Teams-Meetings, um Krypto-Benutzer anzusprechen

Das Cybersicherheitsunternehmen JUMPSEC sagte, dass die mit Nordkorea verbundene Hackergruppe BlueNoroff Krypto-Experten durch gefälschte Zoom- und Microsoft-Teams-Meetings ins Visier nimmt. Angreifer nutzen gekapertes Telegram…pic.twitter.com/Tz1hcbjlRE

— Wu Blockchain (@WuBlockchain)26. Juli 2026

Das Scannen der Brieftasche führt zu einem gefälschten Software-Update

Sobald der Scan abgeschlossen ist, werden Opfer aufgefordert, ein gefälschtes „SDK-Update“ für Zoom oder Teams zu installieren. Ein Klick darauf löst einen sogenannten ClickFix-Angriff aus, wie Forscher es nennen. 

Das Opfer wird dazu verleitet, Befehle auszuführen, von denen es glaubt, dass sie einen technischen Fehler beheben. JUMPSEC dokumentierte separate Infektionspfade für Windows- und macOS-Benutzer.

Auf Windows-Rechnern startet das Update PowerShell-Skripte, die mehr Malware abwehren. Diese Skripte sammeln auch Systemdetails und suchen gezielt nach Telegram-Daten und Browser-Wallet-Erweiterungen. 

Mac-Benutzer laden stattdessen etwas herunter, das wie ein normales Zoom- oder Teams-Installationsprogramm aussieht. Ein Stealer der zweiten Stufe wird dann leise im Hintergrund geladen, während die gefälschte App scheinbar normal installiert wird.

Zu den gestohlenen Daten gehören Wallets und Telegram-Sitzungen

Sobald die Malware aktiv ist, ruft sie eine Vielzahl von Informationen vom infizierten Gerät ab. JUMPSEC berichtet, dass es Browser-Anmeldeinformationen, Chrome-Hauptschlüssel und vollständige Telegram-Sitzungen erfassen kann. 

Dabei werden auch Kryptowährungs-Wallet-Daten und allgemeine Systeminformationen erfasst. Da auch Telegram-Sitzungen gestohlen werden, können Angreifer das gekaperte Konto möglicherweise wiederverwenden, um als nächstes die eigenen Kontakte des Opfers anzugreifen.

JUMPSEC stellte fest, dass das Phishing-Kit immer noch aktiv ausgebaut wird. Forscher fanden heraus, dass mehrere Versionen der Plattform auf derselben Infrastruktur basieren. 

Es wurde auch eine unvollendete Google Meet-Variante entdeckt, was darauf hindeutet, dass BlueNoroff plant, über Zoom und Teams hinaus zu expandieren. 

Die fortlaufenden Upgrades der Teams-Schnittstelle deuten auf eine kontinuierliche Verbesserung hin. Dies scheine nach einer nachhaltigen Kampagne und nicht nach einer einmaligen Anstrengung zu sein, sagte JUMPSEC.

Die Ergebnisse ergänzen eine lange Liste von Social-Engineering-Taktiken, die mit Nordkorea verbundene Gruppen gegen die USA eingesetzt habenKryptoindustrie. 

Als Einstiegspunkte für diese Kampagnen dienten gefälschte Vorstellungsgespräche, gefälschte Investoren und nun auch gefälschte Meeting-Gastgeber. Der Bericht von JUMPSEC vermittelt den Verteidigern ein klareres Bild davon, wie überzeugend diese gefälschten Anrufe geworden sind.

Nordkoreanische IT-Mitarbeiter beim Hacken ihrer eigenen Zentralbank erwischt

Einem separaten Daily NK zufolge ist auch Nordkoreas eigenes Finanzsystem zum Ziel gewordenBericht. Eine kriminelle Organisation hat angeblich interne Netzwerke der Zentralbank von Korea und der Außenhandelsbank gehackt. 

Der Gruppe wird vorgeworfen, gestohlene Staatsgelder in Kryptowährung umgewandelt und anschließend über Grenzregionen geschmuggelt zu haben. Berichten zufolge haben die Behörden die Operation am 12. bei einer Razzia in Pjöngjang abgebrochen.

Eine Quelle teilte Daily NK mit, dass es sich bei den Rädelsführern um ehemalige Soldaten einer Cyber-Einsatzeinheit handelte. Die Einheit untersteht dem General Reconnaissance and Intelligence Bureau. 

Nach ihrem Ausscheiden aus dem Militär rekrutierten sie angeblich Studenten der Technischen Universität Kim Chaek und der Wissenschaftsuniversität Pjöngjang. Berichten zufolge nutzte die Gruppe chinesische drahtlose Geräte und verschlüsselte Messenger, um einer Entdeckung zu entgehen.

Berichten zufolge wurden gestohlene Gelder in kleine Einheiten aufgeteilt und in ausländische Krypto-Wallets verschoben. Daily NK berichtet, dass die Münzen später über chinesische Makler wieder in Bargeld umgewandelt wurden. Das Bargeld wurde dann in der Nähe von Sinuiju und Hyesan in US-Dollar und Yuan umgetauscht. 

Die Ermittler kamen dem Plan auf die Spur, nachdem sie unregelmäßige Transaktionsaufzeichnungen und einen ungewöhnlichen IP-Zugriff aus dem Ausland entdeckt hatten.

Berichten zufolge hat der National Intelligence Agency starken Krypto-Verkehr zu einem Haus in Pjöngjang zurückverfolgt. Dem Bericht zufolge wurde das Haus in der Nacht des 12. durchsucht. 

Rädelsführer und IT-Personal wurden vor Ort festgenommen, außerdem wurden Computerausrüstung und Brennertelefone festgenommenbeschlagnahmt.

Quelle: Live Bitcoin News