Il kit di phishing di BlueNoroff controlla i wallet di criptovalute prima di distribuire il malware

Un gruppo di minacce legato alla Corea del Nord, noto come BlueNoroff, utilizza una piattaforma di phishing che imita Zoom e Microsoft Teams per profilare gli utenti di criptovalute prima di distribuire malware, secondo una ricerca di JUMPSEC.

La campagna combina account Telegram compromessi, impersonificazione di contatti fidati e tecniche di social engineering in stile ClickFix. Secondo quanto riferito, gli aggressori prendono il controllo di account appartenenti a persone del settore delle criptovalute e li usano per contattare dirigenti o altri obiettivi di alto valore. Le vittime possono ricevere un invito Calendly che reindirizza a un dominio progettato per assomigliare a un link legittimo per una riunione Zoom o Teams.

Il sito contraffatto della riunione può richiedere l'accesso alla webcam e trasmettere il video a un pannello controllato dall'operatore tramite WebRTC. Dopo che la vittima accede a una riunione simulata, l'operatore può mostrare messaggi che affermano che il microfono non funziona e chiedere al bersaglio di installare un'applicazione urgente o un aggiornamento dell'SDK. Questa interazione porta infine all'esecuzione di un comando malevolo.

JUMPSEC ha dichiarato che il kit rileva inoltre le caratteristiche del browser e cerca le estensioni dei wallet di criptovalute prima di distribuire il malware. Questa attività di ricognizione consente agli operatori di dare priorità agli obiettivi che potrebbero controllare risorse digitali di valore. La riunione fasulla può includere il video preregistrato di un partecipante, con volti generati dall'intelligenza artificiale sovrapposti a movimenti corporei reali catturati da vittime precedenti, creando un'impersonificazione più convincente.

Catene di attacco separate per Windows e macOS

Su Windows, il comando ClickFix avvia un loader PowerShell che recupera uno script VBScript. Lo script tenta di indebolire Microsoft Defender, controlla i dati del browser associati a Telegram e inventaria le estensioni presenti in diversi browser basati su Chromium e Firefox. È quindi possibile identificare estensioni per wallet come MetaMask, mentre i dati relativi a Telegram possono aiutare gli aggressori a sottrarre sessioni e a diffondere la campagna tramite ulteriori contatti.

Su macOS, un comando shell scarica un programma di installazione contraffatto di Zoom o Teams. Lo stealer associato raccoglie informazioni sul sistema e le chiavi master di Chrome archiviate tramite iCloud Keychain, quindi invia i dati agli aggressori attraverso Telegram e può installare ulteriori payload.

I ricercatori hanno osservato versioni distinte per Zoom e Teams; l'implementazione per Teams include controlli più avanzati dei wallet e funzionalità aggiuntive per le riunioni. L'analisi dell'infrastruttura ha identificato cinque versioni del kit rilasciate tra il 31 maggio e il 14 luglio 2026, a indicare uno sviluppo continuo. L'attenzione della campagna su Zoom e Teams supporta inoltre il pretesto del “client desktop obsoleto”, meno plausibile per servizi basati principalmente sul browser come Google Meet.