Wie BlueNoroff Zoom- und Teams-Fakes nutzt, um Krypto-Firmen zu hacken

Forschende von JUMPSEC haben Details offengelegt zu einer aktiven Phishing-Plattform, die ihren Erkenntnissen zufolge mit der nordkoreanischen Gruppe BlueNoroff in Verbindung steht. Die Plattform imitiert Videokonferenzen von Zoom und Microsoft Teams über Typosquatting-Domains und setzt die Technik ClickFix zur Auslieferung von Schadcode ein. Ein zentrales Merkmal der Kampagne ist das Profiling der Kryptowährungs-Wallets der Opfer, noch bevor Malware ausgerollt wird – so können die Angreifer gezielt nur besonders wertvolle Ziele in der Kryptoindustrie treffen. Die Kampagne zielt sowohl auf Windows- als auch auf macOS-Nutzende ab, und ihr sich selbst verbreitender Mechanismus über die Übernahme von Telegram-Sessions macht jeden erfolgreichen Angriff zum Sprungbrett für den nächsten.

Mechanismus des Initialzugangs: Vertrauen als Waffe

Nach Angaben der Forschenden beginnt der Angriff nicht mit Massenphishing, sondern mit der Kompromittierung vertrauenswürdiger Kontakte innerhalb der Kryptoszene. Die Angreifer übernehmen legitime Telegram-Konten von Personen, die dem Opfer persönlich bekannt sind, und schicken im Namen dieser Kontakte an Führungskräfte großer Unternehmen einen per Calendly generierten Link zu einem Meeting. Dieser Link führt nicht zu einem echten Zoom-Meeting, sondern zu einer gefälschten Domain, die die Oberfläche einer Videokonferenz visuell nachahmt.

Jede Person, die die bösartige Payload ausführt, während Telegram Web geöffnet ist oder Telegram Desktop installiert ist, wird zum Kandidaten für den Diebstahl ihrer Telegram-Session. Die gestohlene Session wird anschließend genutzt, um die Kontakte dieser Person anzugreifen und so eine selbsterhaltende Kompromittierungskette aufzubauen.

Anatomie der gefälschten Videokonferenz

Die Phishing-Seite fordert das Opfer auf, einen Namen einzugeben und der Nutzung der Webcam zuzustimmen. Nach Erteilung der Berechtigung wird der Videostream der Kamera unbemerkt über die Technologie mediasoup WebRTC an ein Operator-Dashboard übertragen. Das Opfer landet in einem „Warteraum“ und sieht eine Mitteilung, dass die anderen Teilnehmenden dem Meeting noch nicht beigetreten sind.

Der Operator steuert über das Dashboard den Ablauf des „Meetings“: Er verschickt gefälschte Hinweise auf ein nicht funktionierendes Mikrofon und initiiert die Aufforderung zu einem angeblichen „Update des Zoom SDK“, das die ClickFix-Payload startet. Parallel führt das Toolkit Browser-Fingerprinting beim Opfer durch und inventarisiert die installierten Erweiterungen für Kryptowährungs-Wallets.

Besonders bemerkenswert ist der Einsatz vorab vorbereiteter Videoaufnahmen mit überlagerten Gesichtern, die nach Aussage der Forschenden mithilfe generativer KI erzeugt werden. Diese Gesichter werden über reale Körperbewegungen gelegt, die während früherer Meetings aufgezeichnet wurden. Auf diese Weise liefert jeder erfolgreiche Angriff das Ausgangsmaterial für den nächsten – das Opfer sieht ein vermeintlich vertrautes Gesicht mit glaubwürdiger Mimik und Gestik.

Angriffsketten: Windows und macOS

Windows

• Der ClickFix-Befehl startet einen PowerShell-Loader, der ein VBScript herunterlädt und ausführt
• Das Skript deaktiviert Microsoft Defender, fügt den Ordner C:\Users der Ausnahmeliste hinzu und erzwingt einen Neustart von Defender, um die Änderungen zu übernehmen
• Das Implantat prüft in den Profilen von Google Chrome, Microsoft Edge, Brave und Mozilla Firefox auf Dateien von Telegram Web, um aktive Telegram-Sessions zu erkennen und anschließend zu übernehmen
• Es erfolgt eine Auflistung der installierten Erweiterungen in Chrome, Chrome Beta, Chrome Dev, Chromium, Edge, Brave, Opera, Opera GX, Vivaldi und Firefox – die Erweiterungs-IDs werden bekannten Wallets zugeordnet, darunter MetaMask
• Das Implantat ist in der Lage, zusätzliche Payloads für nachfolgende Phasen nachzuladen, deren genaue Natur bislang nicht geklärt ist

macOS

• Der ClickFix-Befehl startet ein Shell-Skript, das einen gefälschten Installer für Teams oder Zoom herunterlädt
• Der Installer aktiviert einen Stealer, der Systemmetadaten sowie die Master-Keys von Google Chrome aus dem iCloud Keychain extrahiert
• Die Exfiltration der Daten erfolgt über einen Telegram-Kanal mit dem Namen „Aurora“
• Es besteht die Möglichkeit, zusätzliche Payloads nachzuladen und auszuführen

Berichten zufolge kodiert die Exfiltrationsfunktion über Telegram den Bot-Token und die Chat-ID fest in der Binärdatei des Stealers.

Zwei Varianten der Köderseiten und aktive Weiterentwicklung

Die Forschenden beobachteten zwei Varianten der Phishing-Köder – eine für Zoom und eine für Microsoft Teams. Ihrer Einschätzung nach ist die Teams-Variante ausgereifter: Sie unterstützt Emoji-Reaktionen, blockiert Mobilgeräte und Tablets und führt ein erweitertes Profiling von Wallets durch, noch bevor Malware ausgeliefert wird.

Die Analyse der Infrastruktur ergab im Zeitraum vom 31. Mai bis 14. Juli 2026 fünf unterschiedliche Versionen des Phishing-Kits, was auf eine aktive Weiterentwicklung und iterative Verfeinerung des Werkzeugsatzes hinweist. Im Quellcode fanden sich außerdem unvollständige Vorlagen für eine Nachbildung von Google Meet, die bislang nicht umgesetzt wurde.

Der Leiter der Threat-Research-Abteilung von JUMPSEC, Sean Moran, erklärt die Fokussierung auf Zoom und Teams mit drei Faktoren: Der Vorwand eines „SDK-Updates“ wirkt nur für Plattformen mit schwergewichtigem Desktop-Client glaubwürdig; Zoom und Teams sind de facto Standard für Gespräche im Krypto- und Venture-Capital-Bereich; und eine Domainschemata wie us.zoom.06webin.us lässt sich deutlich leichter für Typosquatting missbrauchen als meet.google.com.

Einschätzung der Auswirkungen

Am stärksten gefährdet sind Führungskräfte und Mitarbeitende von Unternehmen in den Bereichen Kryptowährungen, Venture Capital und Dezentralisierte Finanzen (DeFi). Der selbsterhaltende Charakter der Kampagne – bei dem die Kompromittierung eines Kontos die Angriffsfläche automatisch vergrößert – erzeugt einen Schneeballeffekt innerhalb professioneller Netzwerke. Die Kompromittierung der Krypto-Wallets hochrangiger Personen kann zu direkten finanziellen Verlusten führen, deren Umfang einzig durch den Kontostand der angegriffenen Wallets begrenzt ist.

Praktische Empfehlungen

• Verifizierung von Meeting-Links: Überprüfen Sie vor dem Anklicken von Links zu Videokonferenzen den Domainnamen manuell – legitime Zoom-Links verwenden die Domain zoom.us und keine Subdomains fremder Domains
• Verbot der Ausführung von Befehlen aus Chats: Kopieren oder starten Sie niemals PowerShell- oder Shell-Befehle, die Sie über Messenger oder Webseiten von Videokonferenzen erhalten
• Schutz von Telegram-Sessions: Aktivieren Sie die Zwei-Faktor-Authentifizierung in Telegram, prüfen Sie regelmäßig aktive Sessions und beenden Sie unbekannte Sitzungen
• Einschränkung des Kamera-Zugriffs: Erteilen Sie Webseiten keinen Kamerazugriff – legitime Zoom- und Teams-Meetings nutzen in diesem Szenario die Desktop-Anwendungen
• Monitoring von Browser-Erweiterungen: Überwachen Sie auf Unternehmensgeräten Versuche zur Auflistung installierter Erweiterungen sowie ungewöhnlichen Zugriff auf Browserprofile
• Überprüfung der Microsoft-Defender-Ausnahmen: Kontrollieren Sie das Hinzufügen von Ordnern zur Ausnahmeliste von Defender – das Hinzufügen von C:\Users ist ein klarer Indikator für eine Kompromittierung
• Bestätigung über alternative Kanäle: Wenn ein vertrauenswürdiger Kontakt einen Meeting-Link über Telegram schickt, bestätigen Sie die Anfrage telefonisch oder über einen anderen Kommunikationskanal

Die Kampagne verdeutlicht einen Taktikwechsel bei Angriffen auf die Kryptoindustrie: Anstatt technische Schwachstellen in der Infrastruktur auszunutzen, kompromittieren die Angreifer gezielt die Personen, die den Zugang zu digitalen Vermögenswerten kontrollieren. Organisationen im Kryptosektor müssen Kommunikationskanäle – allen voran Telegram – sowie Vertrauenskette zwischen Mitarbeitenden in ihren Sicherheitsperimeter einbeziehen und eine verbindliche Verifizierung von Meeting-Anfragen über unabhängige Kommunikationswege einführen.