Хакери BlueNoroff, пов'язані з Північною Кореєю, використовують фейкові зустрічі в Zoom та Microsoft Teams для профілювання користувачів криптовалют перед доставкою шкідливого програмного забезпечення.
Компанія з кібербезпеки JUMPSEC повідомила, що відновила та проаналізувала вихідний код активного фішингового набору після того, як його оператори виявили JavaScript-карти джерел на діючій інфраструктурі. Файли демонстрували окремі приманки для Zoom та Teams, інструменти сканування гаманців, елементи керування операторів та шляхи доставки шкідливого програмного забезпечення для Windows і macOS.
Атака часто починається через акаунт Telegram, якому ціль вже довіряє. Хакери перехоплюють акаунти, що належать крипто-контактам, а потім надсилають запрошення Calendly, яке веде до домену зустрічі, що виглядає схожим на справжній. JUMPSEC описала цю систему як повторюваний конвеєр жертв, оскільки одна викрадена сесія Telegram може допомогти зловмисникам зв'язатися з наступною групою цілей.
Фішингова сторінка починає сканувати браузер, коли користувач заходить на фейкову зустріч. Вона шукає підключення до гаманців Ethereum через EIP-6963 та старіші браузерні методи. Вона також перевіряє наявність гаманців, що не є EVM, включаючи інструменти Solana. Результати надходять на панель оператора без попередження жертви. Це дозволяє зловмисникам ідентифікувати гаманці та вибирати цілі з більшою цінністю перед тим, як перейти до наступного етапу.
На Windows імплантат також перераховує ідентифікатори розширень у варіантах Chrome, Edge, Brave, Opera, Vivaldi та Firefox. Оператори можуть порівнювати ці ідентифікатори з відомими розширеннями гаманців, такими як MetaMask. JUMPSEC назвала це системою, яка профілює гаманці «перед доставкою шкідливого програмного забезпечення». Цей метод відрізняється від широкомасштабних фішингових кампаній тим, що зловмисники збирають дані гаманців, перш ніж вирішити, наскільки далеко заходити в вторгнення.
Жертви спочатку бачать переконливу сторінку зустрічі, яка запитує їхнє ім'я та доступ до веб-камери. Потім сайт надсилає потік з камери на панель керування зловмисника. Після приєднання жертви на екрані відображається «очікування інших учасників». Оператор може підключитися з підготовленим відео, надсилати повідомлення типу «ваш мікрофон не працює» та викликати фейкове повідомлення «Оновлення Zoom SDK».
JUMPSEC виявила, що відображуване відео учасника не було живим. Зловмисники поєднували згенеровані штучним інтелектом портрети з рухами тіла, зафіксованими на попередніх зустрічах. Потім вони могли показувати знайому людину, використовуючи акаунт Telegram, що належав реальному контакту. Версія Teams включала реакції емодзі, налаштування пристрою, фонові ефекти та ширші перевірки гаманців, що робило її більш досконалою, ніж набір для Zoom. Вихідний код також містив незавершену опцію Google Meet. JUMPSEC заявила, що Zoom та Teams підходять як приманка, оскільки обидва використовують настільні клієнти, що робить термінове оновлення програмного забезпечення більш достовірним.
На Windows скопійована команда ClickFix запускає невеликий завантажувач PowerShell. Вона завантажує VBScript, додає виключення для Microsoft Defender і перезапускає Defender, щоб зміна набрала чинності. Імплантат збирає системні дані, перевіряє браузери на наявність розширень гаманців і шукає файли Telegram Web. Він також може отримувати подальші корисні навантаження від операторів, хоча JUMPSEC не відновила всі файли фінальної стадії.
Шлях для macOS завантажує фейковий інсталятор Zoom або Teams, тоді як у фоновому режимі працює стілер. Дослідники виявили версії, які збирали системну інформацію та майстер-ключі Chrome з Keychain Apple. Шкідливе програмне забезпечення надсилало дані через бота Telegram і могло завантажувати ще одне корисне навантаження. JUMPSEC відстежила чотири варіанти для macOS між 22 квітня та 15 липня, що свідчить про те, що оператори постійно змінювали інструментарій протягом кампанії.
Ці висновки розширюють попередні дослідження щодо операцій BlueNoroff з фейковими зустрічами. У квітні Arctic Wolf повідомила про понад 80 доменів Zoom та Teams, що виглядають схожими на справжні, та ідентифікувала 100 додаткових цілей, чиї медіа з'явилися на інфраструктурі зловмисників. Було зазначено, що 80% ідентифікованих цілей працювали у сферах криптовалют, блокчейн-фінансів або пов'язаних інвестиційних секторах, тоді як засновники та керівники становили 45%.
Північнокорейські зловмисники вже використовували скомпрометовані акаунти Telegram, підроблені запрошення на зустрічі та фейкові оновлення програмного забезпечення для націлювання на крипто-керівників. Інший звіт crypto.news описував пов'язану кампанію для macOS, яка просила жертв виконувати команди під час фейкових дзвінків. Попереднє висвітлення шкідливого програмного забезпечення NimDoor також пов'язувало фейкові оновлення Zoom зі спробами крадіжки облікових даних браузера, даних гаманця та файлів Telegram.
Останній набір дає операторам прямий контроль над темпом кожної зустрічі та повідомленням про шкідливе програмне забезпечення. JUMPSEC порадила організаціям обережно ставитися до посилань на зустрічі з довірених акаунтів, оскільки акаунт відправника може бути вже скомпрометований. Крипто-команди можуть перевіряти незвичайні запрошення через інший канал, уникати команд або оновлень, представлених під час дзвінків, відкликати викриті сесії Telegram та ізолювати будь-який пристрій, який запускав запитуваний скрипт. Команди також повинні переглядати активність PowerShell, виключення Defender, доступ до Keychain та нові входи в Telegram після будь-якого підозрілого дзвінка. Лише скидання пароля може не видалити викрадені сесії або шкідливе програмне забезпечення, яке вже працює на пристрої в уражених системах.
ETH
SOL
