BlueNoroff-Phishing-Kit prüft Krypto-Wallets vor der Malware-Auslieferung

Die mit Nordkorea verbundene Bedrohungsgruppe BlueNoroff nutzt laut Untersuchungen von JUMPSEC eine Phishing-Plattform, die Zoom und Microsoft Teams imitiert, um Kryptowährungsnutzer zu profilieren, bevor sie Malware ausliefert.

Die Kampagne kombiniert kompromittierte Telegram-Konten, die Nachahmung vertrauenswürdiger Kontakte und Social Engineering nach dem ClickFix-Muster. Berichten zufolge übernehmen die Angreifer Konten von Personen aus dem Kryptowährungssektor und nutzen diese, um Führungskräfte oder andere hochwertige Ziele zu kontaktieren. Die Opfer erhalten möglicherweise eine Calendly-Einladung, die auf eine Domain weiterleitet, die wie ein legitimer Zoom- oder Teams-Meeting-Link gestaltet ist.

Die gefälschte Meeting-Website kann den Zugriff auf die Webcam anfordern und das Video über WebRTC an ein von den Angreifern kontrolliertes Bedienfeld weiterleiten. Nachdem das Opfer einem inszenierten Meeting beigetreten ist, kann der Operator Hinweise einblenden, denen zufolge das Mikrofon nicht funktioniert, und das Ziel anweisen, dringend eine Anwendung oder ein SDK-Update zu installieren. Diese Interaktion führt letztlich zur Ausführung eines schädlichen Befehls.

JUMPSEC zufolge erstellt das Kit außerdem einen Fingerabdruck des Browsers und sucht vor der Bereitstellung der Malware nach Erweiterungen für Kryptowährungs-Wallets. Diese Aufklärung ermöglicht es den Betreibern, Ziele zu priorisieren, die möglicherweise wertvolle digitale Vermögenswerte kontrollieren. Das gefälschte Meeting kann ein vorab aufgezeichnetes Teilnehmer-Video enthalten, bei dem KI-generierte Gesichter über echte, bei früheren Opfern aufgezeichnete Körperbewegungen gelegt werden. Dadurch wirkt die Identitätsvortäuschung überzeugender.

Separate Angriffsketten für Windows und macOS

Unter Windows startet der ClickFix-Befehl einen PowerShell-Loader, der ein VBScript abruft. Das Skript versucht, Microsoft Defender zu schwächen, prüft mit Telegram verbundene Browserdaten und inventarisiert Erweiterungen in mehreren Chromium- und Firefox-basierten Browsern. Wallet-Erweiterungen wie MetaMask können anschließend identifiziert werden. Daten mit Bezug zu Telegram können den Angreifern wiederum dabei helfen, Sitzungen zu stehlen und die Kampagne über weitere Kontakte zu verbreiten.

Unter macOS lädt ein Shell-Befehl ein gefälschtes Zoom- oder Teams-Installationsprogramm herunter. Der zugehörige Information-Stealer sammelt Systeminformationen und in der iCloud-Schlüsselbundverwaltung gespeicherte Chrome-Masterschlüssel. Anschließend sendet er die Daten über Telegram an die Angreifer und kann weitere Payloads installieren.

Die Forscher beobachteten separate Zoom- und Teams-Versionen. Die Teams-Implementierung verfügte über fortschrittlichere Wallet-Prüfungen und zusätzliche Meeting-Funktionen. Eine Analyse der Infrastruktur identifizierte fünf Kit-Versionen, die zwischen dem 31. Mai und dem 14. Juli 2026 veröffentlicht wurden, was auf eine fortgesetzte Weiterentwicklung hindeutet. Die Konzentration der Kampagne auf Zoom und Teams unterstützt außerdem den Vorwand eines „veralteten Desktop-Clients“, der bei browserbasierten Diensten wie Google Meet weniger plausibel wäre.