Para Bitcoiners menghadapi peringatan baru mengenai kampanye rekayasa sosial aktif yang membajak akun Telegram yang dipercaya dan mengarahkan para profesional kripto ke rapat Zoom atau Microsoft Teams palsu.
Lightning News membunyikan alarm pada 7 Agustus, mengutip laporan terbaru dari anggota komunitas Bitcoin. Penelitian keamanan independen mengkonfirmasi rantai serangan inti, meskipun tidak setiap klaim telah diverifikasi.
JUMPSEC mengatakan pada bulan Juli bahwa mereka memperoleh kode sumber dari kit phishing BlueNoroff aktif setelah peta sumber JavaScript terekspos. Para peneliti menemukan platform akuisisi korban yang menyalahgunakan kontak Telegram yang disusupi, memprofilkan dompet mata uang kripto, dan mengirimkan malware ke target terpilih pada sistem Windows dan macOS. JUMPSEC mengatakan infrastruktur kampanye yang teridentifikasi tetap aktif hingga 22 Juli.
Serangan ini dimulai dengan kepercayaan daripada kerentanan blockchain. JUMPSEC menemukan operator menggunakan akun Telegram yang disusupi milik kontak industri sungguhan untuk mengundang target ke rapat video palsu. Karena pesan berasal dari akun asli dan dapat merujuk hubungan yang sudah ada, pengenalan pengirim saja memberikan perlindungan terbatas.
Google Mandiant secara independen mendokumentasikan intrusi UNC1069 serupa pada bulan Februari. Seorang korban menerima pesan dari akun Telegram eksekutif kripto yang disusupi, menjadwalkan rapat, dan dialihkan ke domain Zoom yang dipalsukan. Korban melaporkan melihat apa yang tampak seperti video yang dihasilkan AI dari eksekutif kripto lain selama panggilan yang diatur tersebut.
Atribusi memerlukan ketelitian. Mandiant melacak aktor tersebut sebagai UNC1069 dan mengatakan itu tumpang tindih dengan BlueNoroff. Departemen Keuangan AS secara resmi menunjuk BlueNoroff, juga dikenal sebagai APT38, sebagai kelompok yang disponsori negara Korea Utara yang dikendalikan oleh Biro Pengintaian Umum. Security Alliance juga mengaitkan kampanye rapat palsu tersebut dengan UNC1069, atau BlueNoroff.
Kit yang direkonstruksi JUMPSEC menunjukkan antarmuka rapat yang diatur meminta akses webcam sebelum operator bergabung dengan video yang direkam sebelumnya. Korban kemudian melihat masalah audio yang seharusnya dan pembaruan perangkat lunak palsu. Teks pemecahan masalah yang ditampilkan menyesatkan: menyalinnya menempatkan perintah ClickFix yang dikendalikan penyerang ke clipboard.
Pada Windows, JUMPSEC mengamati komponen PowerShell dan VBScript yang mampu menonaktifkan pertahanan, melakukan pengintaian, dan mendukung akses lanjutan. Pada macOS, para peneliti menemukan skrip shell dan payload Mach-O yang dirancang untuk mencuri kredensial dan data sensitif lainnya. Kit ini juga memindai penyedia dompet browser sebelum pengiriman malware, membantu operator mengidentifikasi target berharga.
Itu berarti klaim bahwa hanya membuka tautan rapat secara otomatis menguras dompet terlalu luas. Dalam rantai yang didokumentasikan, kompromi memerlukan tindakan lain, seperti menjalankan perintah yang disalin atau pembaruan berbahaya. Namun, setelah malware dieksekusi, Mandiant menemukan alat yang mampu mencuri data browser, kredensial Keychain, dan data pengguna Telegram.
Seperti yang dilaporkan sebelumnya, Martin Kuchař mengatakan akun Telegram-nya disusupi dan digunakan dalam serangan serupa. Liputan korban sebelumnya juga mendokumentasikan eksekutif kripto didekati melalui kontak terpercaya sebelum permintaan rapat palsu mencoba menginstal malware.
Security Alliance melaporkan bahwa mereka mengaitkan 164 domain yang diblokir dengan UNC1069 antara 6 Februari dan 7 April. Advisori mereka menggambarkan rekayasa sosial multi-minggu melalui Telegram, LinkedIn, dan Slack sebelum tautan Zoom atau Teams palsu dikirimkan. JUMPSEC kemudian memperluas gambaran infrastruktur dan mengatakan infrastruktur dengan kepercayaan tinggi dan menengah tetap aktif pada akhir Juli.
FBI telah memperingatkan secara terpisah bahwa aktor Korea Utara melakukan rekayasa sosial yang sangat disesuaikan terhadap karyawan mata uang kripto dan DeFi. Panduannya secara khusus menandai permintaan untuk mengeksekusi kode, menginstal aplikasi yang tidak dikenal, menjalankan skrip untuk memperbaiki panggilan video, atau memindahkan percakapan antar platform komunikasi.
FBI merekomendasikan verifikasi identitas melalui saluran independen dan menjaga kredensial dompet, seed phrase, dan kunci pribadi dari perangkat yang terhubung ke internet. Otentikasi dua faktor tetap berguna, tetapi perangkat yang terinfeksi dapat mengekspos data sesi, jadi sesi yang disusupi juga harus dicabut dari perangkat yang bersih.
Koreksi terpenting terhadap peringatan 7 Agustus adalah bahwa para peneliti belum menetapkan satu metode universal untuk pengambilalihan Telegram awal. Klaim bahwa nomor telepon kedaluwarsa atau sementara adalah penyebab utama tetap tidak terverifikasi dalam materi yang ditinjau. Para peneliti mengkonfirmasi akun yang disusupi, tetapi mekanisme pengambilalihan dapat bervariasi.
Dalam liputan platform Telegram terpisah, Apple sempat menghapus aplikasi perpesanan tersebut dari App Store-nya karena tinjauan kebijakan CSAM sebelum mengembalikannya setelah Telegram menghapus konten yang ditandai dan melarang pengguna yang bertanggung jawab.
Pengguna harus memperlakukan permintaan rapat yang tidak terduga, perubahan domain, prompt perbaikan audio, dan permintaan untuk menempel perintah sebagai sinyal berisiko tinggi. Jika kode yang mencurigakan sudah berjalan, FBI menyarankan untuk memutuskan perangkat yang terpengaruh dari internet sambil tetap menyalakannya untuk potensi pemulihan forensik, kemudian menghubungi spesialis respons insiden dan penegak hukum.
Oleh karena itu, kampanye ini paling baik digambarkan sebagai operasi rekayasa sosial yang sedang berlangsung, terkait dengan Korea Utara, yang menargetkan lapisan manusia di sekitar kustodi kripto. Efektivitasnya berasal dari eksploitasi identitas tepercaya dan alat kerja yang akrab, bukan dari peretasan Bitcoin itu sendiri.
