उत्तर कोरिया से जुड़ा हैकिंग समूह ब्लूनेरोफ (BlueNoroff) मैलवेयर फैलाने से पहले क्रिप्टोकरेंसी उपयोगकर्ताओं को प्रोफाइल करने के लिए नकली जूम (Zoom) और माइक्रोसॉफ्ट टीम्स (Microsoft Teams) मीटिंग्स का उपयोग कर रहा है। 

साइबर सुरक्षा फर्म जम्पसेक (JUMPSEC) ने कहा कि उसने एक सक्रिय फ़िशिंग किट से सोर्स कोड को पुनर्प्राप्त और विश्लेषण किया, जब उसके ऑपरेटरों ने लाइव इन्फ्रास्ट्रक्चर पर जावास्क्रिप्ट (JavaScript) सोर्स मैप्स को उजागर किया। फाइलों में विंडोज (Windows) और मैकओएस (macOS) के लिए अलग-अलग ज़ूम (Zoom) और टीम्स (Teams) के प्रलोभन, वॉलेट-स्कैनिंग टूल, ऑपरेटर नियंत्रण और मैलवेयर डिलीवरी पाथ दिखाए गए।

यह हमला अक्सर एक टेलीग्राम (Telegram) खाते के माध्यम से शुरू होता है जिस पर लक्ष्य पहले से भरोसा करता है। हैकर्स क्रिप्टो संपर्कों से संबंधित खातों पर कब्जा कर लेते हैं, फिर एक कैलेंडली (Calendly) आमंत्रण भेजते हैं जो एक समान दिखने वाले मीटिंग डोमेन पर ले जाता है। जम्पसेक (JUMPSEC) ने इस प्रणाली को एक दोहराने योग्य पीड़ित पाइपलाइन के रूप में वर्णित किया क्योंकि एक चोरी किया गया टेलीग्राम (Telegram) सेशन हमलावरों को लक्ष्यों के अगले समूह से संपर्क करने में मदद कर सकता है।

ब्लूनेरोफ (BlueNoroff) मैलवेयर भेजने से पहले क्रिप्टो वॉलेट्स की जांच करता है

जब कोई उपयोगकर्ता नकली मीटिंग में प्रवेश करता है तो फ़िशिंग पेज ब्राउज़र को स्कैन करना शुरू कर देता है। यह EIP-6963 और पुराने ब्राउज़र तरीकों के माध्यम से एथेरियम (Ethereum) वॉलेट कनेक्शन की तलाश करता है। यह सोलाना (Solana) टूल्स सहित गैर-ईवीएम (non-EVM) वॉलेट्स की भी जांच करता है। परिणाम पीड़ित को सचेत किए बिना एक ऑपरेटर पैनल तक पहुंचते हैं। यह हमलावरों को वॉलेट्स की पहचान करने और अगले चरण को आगे बढ़ाने से पहले उच्च-मूल्य वाले लक्ष्यों को चुनने की सुविधा देता है।

विंडोज (Windows) पर, इम्प्लांट क्रोम (Chrome), एज (Edge), ब्रेव (Brave), ओपेरा (Opera), विवोल्डी (Vivaldi) और फ़ायरफ़ॉक्स (Firefox) वेरिएंट में एक्सटेंशन आईडी (IDs) को भी सूचीबद्ध करता है। ऑपरेटर उन आईडी (IDs) की तुलना मेटामास्क (MetaMask) जैसे ज्ञात वॉलेट एक्सटेंशन से कर सकते हैं। जम्पसेक (JUMPSEC) ने इसे "मैलवेयर डिलीवरी से पहले" वॉलेट्स को प्रोफाइल करने वाली प्रणाली कहा। यह तरीका व्यापक फ़िशिंग अभियानों से अलग है क्योंकि हमलावर घुसपैठ को कितनी दूर तक ले जाना है, यह तय करने से पहले वॉलेट डेटा एकत्र करते हैं।

नकली ज़ूम (Zoom) और टीम्स (Teams) कॉल विश्वास बनाते हैं

पीड़ित सबसे पहले एक विश्वसनीय मीटिंग पेज देखते हैं जो उनका नाम और वेबकैम (webcam) एक्सेस का अनुरोध करता है। फिर साइट कैमरा स्ट्रीम को हमलावर के नियंत्रण पैनल पर भेजती है। पीड़ित के शामिल होने के बाद, स्क्रीन पर "अन्य प्रतिभागियों की प्रतीक्षा" दिखाई देता है। एक ऑपरेटर एक तैयार वीडियो के साथ प्रवेश कर सकता है, "आपका माइक काम नहीं कर रहा है" जैसे संदेश भेज सकता है, और एक नकली "ज़ूम (Zoom) एसडीके (SDK) अपडेट" प्रॉम्प्ट को ट्रिगर कर सकता है।

जम्पसेक (JUMPSEC) ने पाया कि प्रदर्शित प्रतिभागी वीडियो लाइव नहीं था। हमलावरों ने एआई (AI) द्वारा बनाए गए हेडशॉट्स को पिछली मीटिंग्स में कैप्चर किए गए शरीर की गतिविधियों के साथ जोड़ा। वे फिर एक परिचित दिखने वाले व्यक्ति को दिखा सकते थे, जबकि एक टेलीग्राम (Telegram) खाते का उपयोग कर रहे थे जो एक वास्तविक संपर्क का था। टीम्स (Teams) संस्करण में इमोजी प्रतिक्रियाएं, डिवाइस सेटिंग्स, बैकग्राउंड इफेक्ट्स और व्यापक वॉलेट चेक शामिल थे, जिससे यह ज़ूम (Zoom) किट की तुलना में अधिक पॉलिश हो गया। सोर्स कोड में एक अधूरा गूगल मीट (Google Meet) विकल्प भी था। जम्पसेक (JUMPSEC) ने कहा कि ज़ूम (Zoom) और टीम्स (Teams) इस प्रलोभन के लिए उपयुक्त हैं क्योंकि दोनों डेस्कटॉप क्लाइंट (desktop clients) का उपयोग करते हैं, जिससे एक तत्काल सॉफ़्टवेयर अपडेट अधिक विश्वसनीय लगता है।

मैलवेयर विंडोज (Windows) और मैकओएस (macOS) दोनों को लक्षित करता है

विंडोज (Windows) पर, कॉपी किया गया क्लिकफिक्स (ClickFix) कमांड एक छोटा पॉवरशेल (PowerShell) लोडर चलाता है। यह एक वीबीस्क्रिप्ट (VBScript) डाउनलोड करता है, एक माइक्रोसॉफ्ट डिफेंडर (Microsoft Defender) एक्सक्लूजन जोड़ता है और डिफेंडर (Defender) को पुनरारंभ करता है ताकि परिवर्तन प्रभावी हो सके। इम्प्लांट सिस्टम विवरण एकत्र करता है, वॉलेट एक्सटेंशन के लिए ब्राउज़र की जांच करता है और टेलीग्राम (Telegram) वेब फाइलों की तलाश करता है। यह ऑपरेटरों से बाद के पेलोड (payloads) भी प्राप्त कर सकता है, हालांकि जम्पसेक (JUMPSEC) ने हर अंतिम-चरण की फाइल को पुनर्प्राप्त नहीं किया।

मैकओएस (macOS) पाथ एक नकली ज़ूम (Zoom) या टीम्स (Teams) इंस्टॉलर को डाउनलोड करता है, जबकि बैकग्राउंड में एक स्टीलर (stealer) चलता है। शोधकर्ताओं ने ऐसे संस्करण पाए जिन्होंने ऐप्पल (Apple) की कीचेन (Keychain) से सिस्टम जानकारी और क्रोम (Chrome) मास्टर की (keys) एकत्र कीं। मैलवेयर ने एक टेलीग्राम (Telegram) बॉट (bot) के माध्यम से डेटा भेजा और एक और पेलोड (payload) डाउनलोड कर सकता था। जम्पसेक (JUMPSEC) ने 22 अप्रैल से 15 जुलाई के बीच चार मैकओएस (macOS) वेरिएंट का पता लगाया, जिससे पता चला कि ऑपरेटर अभियान के दौरान टूलकिट (toolkit) को बदलते रहे।

अभियान पिछले क्रिप्टो मीटिंग घोटालों पर आधारित है

ये निष्कर्ष ब्लूनेरोफ (BlueNoroff) के नकली मीटिंग अभियानों पर पहले के शोध का विस्तार करते हैं। अप्रैल में, आर्कटिक वुल्फ (Arctic Wolf) ने 80 से अधिक समान दिखने वाले ज़ूम (Zoom) और टीम्स (Teams) डोमेन की सूचना दी और 100 अतिरिक्त लक्ष्यों की पहचान की जिनके मीडिया हमलावर के इन्फ्रास्ट्रक्चर पर दिखाई दिए। इसने कहा कि पहचाने गए लक्ष्यों में से 80% क्रिप्टो, ब्लॉकचेन (blockchain) वित्त या संबंधित निवेश क्षेत्रों में काम करते थे, जबकि संस्थापकों और मुख्य कार्यकारी अधिकारियों का 45% हिस्सा था।

उत्तर कोरियाई हमलावरों ने क्रिप्टो अधिकारियों को लक्षित करने के लिए पहले से ही समझौता किए गए टेलीग्राम (Telegram) खातों, नकली मीटिंग आमंत्रणों और नकली सॉफ्टवेयर अपडेट का उपयोग किया था। एक अन्य क्रिप्टो.न्यूज़ (crypto.news) रिपोर्ट ने एक संबंधित मैकओएस (macOS) अभियान का वर्णन किया जिसमें पीड़ितों को नकली कॉल के दौरान कमांड चलाने के लिए कहा गया था। निमडोर (NimDoor) मैलवेयर के पहले के कवरेज ने नकली ज़ूम (Zoom) अपडेट को ब्राउज़र क्रेडेंशियल, वॉलेट डेटा और टेलीग्राम (Telegram) फाइलों के खिलाफ चोरी के प्रयासों से भी जोड़ा था।

नवीनतम किट ऑपरेटरों को प्रत्येक मीटिंग की गति और मैलवेयर प्रॉम्प्ट पर सीधा नियंत्रण देती है। जम्पसेक (JUMPSEC) ने संगठनों को विश्वसनीय खातों से मीटिंग लिंक को सावधानीपूर्वक संभालने की सलाह दी क्योंकि भेजने वाले का खाता पहले से ही समझौता किया जा सकता है। क्रिप्टो टीमें एक और चैनल के माध्यम से असामान्य आमंत्रणों को सत्यापित कर सकती हैं, कॉल के दौरान प्रस्तुत कमांड या अपडेट से बच सकती हैं, उजागर टेलीग्राम (Telegram) सेशन को रद्द कर सकती हैं और अनुरोधित स्क्रिप्ट चलाने वाले किसी भी डिवाइस को अलग कर सकती हैं। टीमों को किसी भी संदिग्ध कॉल के बाद पॉवरशेल (PowerShell) गतिविधि, डिफेंडर (Defender) एक्सक्लूजन, कीचेन (Keychain) एक्सेस और नए टेलीग्राम (Telegram) लॉगिन की भी समीक्षा करनी चाहिए। केवल पासवर्ड रीसेट करने से प्रभावित सिस्टम पर चल रहे चोरी किए गए सेशन या मैलवेयर को हटाया नहीं जा सकता है।