Le groupe de hackers BlueNoroff, lié à la Corée du Nord, utilise de fausses réunions Zoom et Microsoft Teams pour profiler les utilisateurs de cryptomonnaies avant de leur livrer des logiciels malveillants.
La firme de cybersécurité JUMPSEC a déclaré avoir récupéré et analysé le code source d'un kit de phishing actif après que ses opérateurs ont exposé des "source maps" JavaScript sur une infrastructure en direct. Les fichiers montraient des leurres Zoom et Teams distincts, des outils de scan de portefeuilles, des contrôles d'opérateur et des chemins de livraison de logiciels malveillants pour Windows et macOS.
L'attaque commence souvent par un compte Telegram auquel la cible fait déjà confiance. Les hackers prennent le contrôle de comptes appartenant à des contacts crypto, puis envoient une invitation Calendly qui mène à un domaine de réunion d'apparence similaire. JUMPSEC a décrit ce système comme un pipeline de victimes reproductible car une session Telegram volée peut aider les attaquants à contacter le groupe de cibles suivant.
La page de phishing commence à scanner le navigateur lorsqu'un utilisateur entre dans la fausse réunion. Elle recherche les connexions de portefeuilles Ethereum via EIP-6963 et les méthodes de navigateur plus anciennes. Elle vérifie également les portefeuilles non-EVM, y compris les outils Solana. Les résultats parviennent à un panneau d'opérateur sans alerter la victime. Cela permet aux attaquants d'identifier les portefeuilles et de choisir les cibles de plus grande valeur avant de passer à l'étape suivante.
Sous Windows, l'implant liste également les identifiants d'extension pour les variantes de Chrome, Edge, Brave, Opera, Vivaldi et Firefox. Les opérateurs peuvent comparer ces identifiants avec des extensions de portefeuille connues telles que MetaMask. JUMPSEC a qualifié ce système de profilage des portefeuilles "avant la livraison de logiciels malveillants". Cette méthode diffère des campagnes de phishing généralisées car les attaquants recueillent les données de portefeuille avant de décider de l'ampleur de l'intrusion.
Les victimes voient d'abord une page de réunion convaincante qui demande leur nom et l'accès à la webcam. Le site envoie ensuite le flux de la caméra au panneau de contrôle de l'attaquant. Une fois la victime connectée, l'écran affiche "en attente d'autres participants". Un opérateur peut entrer avec une vidéo préparée, envoyer des messages tels que "votre micro ne fonctionne pas" et déclencher une fausse invite "Mise à jour du SDK Zoom".
JUMPSEC a constaté que la vidéo du participant affichée n'était pas en direct. Les attaquants ont combiné des photos de têtes générées par IA avec des mouvements corporels capturés lors de réunions antérieures. Ils pouvaient alors montrer une personne d'apparence familière tout en utilisant un compte Telegram appartenant à un contact réel. La version Teams incluait des réactions emoji, des paramètres d'appareil, des effets d'arrière-plan et des vérifications de portefeuille plus étendues, la rendant plus aboutie que le kit Zoom. Le code source contenait également une option Google Meet inachevée. JUMPSEC a déclaré que Zoom et Teams convenaient au leurre car les deux utilisent des clients de bureau, ce qui rend une mise à jour logicielle urgente plus crédible.
Sous Windows, la commande ClickFix copiée exécute un petit chargeur PowerShell. Il télécharge un script VBScript, ajoute une exclusion à Microsoft Defender et redémarre Defender pour que le changement prenne effet. L'implant recueille les détails du système, vérifie les navigateurs pour les extensions de portefeuille et recherche les fichiers Telegram Web. Il peut également recevoir des charges utiles ultérieures des opérateurs, bien que JUMPSEC n'ait pas récupéré tous les fichiers de l'étape finale.
Le chemin macOS télécharge un faux installateur Zoom ou Teams tandis qu'un voleur de données s'exécute en arrière-plan. Les chercheurs ont trouvé des versions qui recueillaient des informations système et les clés principales de Chrome depuis le Trousseau d'accès d'Apple. Le logiciel malveillant envoyait des données via un bot Telegram et pouvait télécharger une autre charge utile. JUMPSEC a retracé quatre variantes macOS entre le 22 avril et le 15 juillet, montrant que les opérateurs ont continué à modifier la boîte à outils pendant la campagne.
Ces découvertes enrichissent les recherches antérieures sur les opérations de fausses réunions de BlueNoroff. En avril, Arctic Wolf a signalé plus de 80 domaines Zoom et Teams d'apparence similaire et identifié 100 cibles supplémentaires dont les médias sont apparus sur l'infrastructure des attaquants. Il a indiqué que 80 % des cibles identifiées travaillaient dans la crypto, la finance blockchain ou les secteurs d'investissement connexes, tandis que les fondateurs et les PDG représentaient 45 %.
Les attaquants nord-coréens avaient déjà utilisé des comptes Telegram compromis, des invitations de réunion falsifiées et de fausses mises à jour logicielles pour cibler les dirigeants du secteur crypto. Un autre rapport de crypto.news a décrit une campagne macOS connexe qui demandait aux victimes d'exécuter des commandes pendant de faux appels. Une couverture antérieure du malware NimDoor a également lié de fausses mises à jour Zoom à des tentatives de vol de titres de navigateur, de données de portefeuille et de fichiers Telegram.
Le dernier kit donne aux opérateurs un contrôle direct sur le rythme de chaque réunion et l'invite du logiciel malveillant. JUMPSEC a conseillé aux organisations de traiter avec prudence les liens de réunion provenant de comptes de confiance, car le compte de l'expéditeur pourrait déjà être compromis. Les équipes crypto peuvent vérifier les invitations inhabituelles via un autre canal, éviter les commandes ou les mises à jour présentées pendant les appels, révoquer les sessions Telegram exposées et isoler tout appareil ayant exécuté le script demandé. Les équipes devraient également examiner l'activité PowerShell, les exclusions Defender, l'accès au Trousseau d'accès et les nouvelles connexions Telegram après tout appel suspect. Une simple réinitialisation de mot de passe pourrait ne pas supprimer les sessions volées ou les logiciels malveillants déjà en cours d'exécution sur l'appareil dans les systèmes affectés.
