Kelompok peretas BlueNoroff yang terkait dengan Korea Utara menggunakan rapat Zoom dan Microsoft Teams palsu untuk memprofilkan pengguna mata uang kripto sebelum mengirimkan malware.
Perusahaan keamanan siber JUMPSEC mengatakan mereka memulihkan dan menganalisis kode sumber dari kit phishing aktif setelah operatornya mengekspos peta sumber JavaScript pada infrastruktur langsung. File-file tersebut menunjukkan umpan Zoom dan Teams terpisah, alat pemindaian dompet, kontrol operator, dan jalur pengiriman malware untuk Windows dan macOS.
Serangan ini sering dimulai melalui akun Telegram yang sudah dipercayai target. Peretas mengambil alih akun milik kontak kripto, lalu mengirimkan undangan Calendly yang mengarah ke domain rapat yang mirip. JUMPSEC menggambarkan sistem ini sebagai jalur korban yang dapat diulang karena satu sesi Telegram yang dicuri dapat membantu penyerang menghubungi kelompok target berikutnya.
Halaman phishing mulai memindai browser saat pengguna memasuki rapat palsu. Ini mencari koneksi dompet Ethereum melalui EIP-6963 dan metode browser yang lebih lama. Ini juga memeriksa dompet non-EVM, termasuk alat Solana. Hasilnya mencapai panel operator tanpa memberi tahu korban. Ini memungkinkan penyerang mengidentifikasi dompet dan memilih target bernilai lebih tinggi sebelum mendorong tahap berikutnya.
Pada Windows, implan ini juga mencantumkan ID ekstensi di seluruh varian Chrome, Edge, Brave, Opera, Vivaldi, dan Firefox. Operator dapat membandingkan ID tersebut dengan ekstensi dompet yang dikenal seperti MetaMask. JUMPSEC menyebut ini sebagai sistem yang memprofilkan dompet "sebelum pengiriman malware." Metode ini berbeda dari kampanye phishing yang luas karena penyerang mengumpulkan data dompet sebelum memutuskan seberapa jauh intrusi tersebut akan dilakukan.
Para korban pertama kali melihat halaman rapat yang meyakinkan yang meminta nama dan akses webcam mereka. Situs tersebut kemudian mengirimkan aliran kamera ke panel kontrol penyerang. Setelah korban bergabung, layar menunjukkan "menunggu peserta lain." Seorang operator dapat masuk dengan video yang telah disiapkan, mengirim pesan seperti "mikrofon Anda tidak berfungsi," dan memicu prompt "Pembaruan SDK Zoom" palsu.
JUMPSEC menemukan bahwa video peserta yang ditampilkan tidak bersifat langsung. Para penyerang menggabungkan gambar kepala yang dihasilkan AI dengan gerakan tubuh yang ditangkap dalam rapat sebelumnya. Mereka kemudian dapat menunjukkan orang yang tampak familiar saat menggunakan akun Telegram yang merupakan kontak asli. Versi Teams mencakup reaksi emoji, pengaturan perangkat, efek latar belakang, dan pemeriksaan dompet yang lebih luas, membuatnya lebih sempurna daripada kit Zoom. Kode sumber juga berisi opsi Google Meet yang belum selesai. JUMPSEC mengatakan Zoom dan Teams cocok untuk umpan tersebut karena keduanya menggunakan klien desktop, membuat pembaruan perangkat lunak yang mendesak tampak lebih kredibel.
Pada Windows, perintah ClickFix yang disalin menjalankan loader PowerShell kecil. Ini mengunduh VBScript, menambahkan pengecualian Microsoft Defender, dan memulai ulang Defender agar perubahan berlaku. Implan tersebut mengumpulkan detail sistem, memeriksa browser untuk ekstensi dompet, dan mencari file Telegram Web. Ini juga dapat menerima muatan berikutnya dari operator, meskipun JUMPSEC tidak memulihkan setiap file tahap akhir.
Jalur macOS mengunduh penginstal Zoom atau Teams palsu sementara pencuri berjalan di latar belakang. Para peneliti menemukan versi yang mengumpulkan informasi sistem dan kunci master Chrome dari Keychain Apple. Malware mengirimkan data melalui bot Telegram dan dapat mengunduh muatan lain. JUMPSEC melacak empat varian macOS antara 22 April dan 15 Juli, menunjukkan bahwa operator terus mengubah perangkat selama kampanye.
Temuan ini memperluas penelitian sebelumnya mengenai operasi rapat palsu BlueNoroff. Pada bulan April, Arctic Wolf melaporkan lebih dari 80 domain Zoom dan Teams yang mirip dan mengidentifikasi 100 target tambahan yang media mereka muncul di infrastruktur penyerang. Dikatakan 80% dari target yang teridentifikasi bekerja di kripto, keuangan blockchain, atau sektor investasi terkait, sementara pendiri dan CEO mencapai 45%.
Penyerang Korea Utara telah menggunakan akun Telegram yang disusupi, undangan rapat palsu, dan pembaruan perangkat lunak palsu untuk menargetkan eksekutif kripto. Laporan crypto.news lainnya menggambarkan kampanye macOS terkait yang meminta korban untuk menjalankan perintah selama panggilan palsu. Liputan sebelumnya tentang malware NimDoor juga menghubungkan pembaruan Zoom palsu dengan upaya pencurian terhadap kredensial browser, data dompet, dan file Telegram.
Kit terbaru memberi operator kendali langsung atas kecepatan setiap rapat dan prompt malware. JUMPSEC menyarankan organisasi untuk memperlakukan tautan rapat dari akun tepercaya dengan hati-hati karena akun pengirim mungkin sudah disusupi. Tim kripto dapat memverifikasi undangan yang tidak biasa melalui saluran lain, menghindari perintah atau pembaruan yang disajikan selama panggilan, mencabut sesi Telegram yang terekspos, dan mengisolasi perangkat apa pun yang menjalankan skrip yang diminta. Tim juga harus meninjau aktivitas PowerShell, pengecualian Defender, akses Keychain, dan login Telegram baru setelah panggilan yang mencurigakan. Reset kata sandi saja mungkin tidak menghapus sesi yang dicuri atau malware yang sudah berjalan di perangkat di seluruh sistem yang terpengaruh.
