LONDON (IT BOLTWISE) – Eine nordkoreanisch zugerechnete Hackergruppe nutzt KI-Avatare in gefälschten Zoom- und Teams-Meetings, um Krypto-Wallets auf den Geräten von Opfern aufzuspüren. Der Angriffsweg startet häufig über kompromittierte Telegram-Accounts und führt anschließend über kopierte Login-Seiten in eine weitere Phishing-Stufe. Technisch auffällig ist der Einsatz von Typosquatting-Domains, Browser-Wallet-Scans nach EIP-6963 sowie eine Clipboard-Manipulation nach dem ClickFix-Prinzip. Für Security-Teams zählt deshalb vor allem die Kombination aus Identitätsprüfung, Link-Validierung und härterer Endpunkt-Überwachung.
BlueNoroff, eine dem Lazarus-Komplex zugerechnete Hackergruppe, setzt aktuell auf einen Angriffsmix aus Social Engineering und gezielter Wallet-Enumeration. Im Kern geht es darum, Krypto-Wallets auf Endgeräten zu identifizieren und anschließend Schadsoftware zu platzieren. Auffällig ist dabei der Einsatz von KI-Avataren: In vorgetäuschten Videokonferenzen wirken die Angreifer als Gesprächspartner plausibel genug, um Gesprächspartner in eine Handlungsabfolge zu drängen, die technische Prüfungen auf der Opferseite überlagert. Für Unternehmen ist das weniger ein „neues Toolkit“ als vielmehr die konsequente Weiterentwicklung klassischer Phishing-Abläufe hin zu stärker überzeugenden Interaktionsmustern.
Der Einstieg wird in den beschriebenen Fällen oft über die Übernahme legitimer Telegram-Accounts vorbereitet. So entsteht ein Erstkontaktkanal, der deutlich weniger verdächtig wirkt als eine kalte Nachricht von unbekannten Absendern. Danach folgt die Einladung zu Zoom- oder Microsoft-Teams-Meetings, begleitet von Webseiten, die sich als Anmeldeseiten bekannter Dienste ausgeben. Das technische Ziel hinter dieser Inszenierung ist klar: Der Opferbrowser soll in eine täuschend ähnliche Oberfläche geführt werden, die Benutzerinteraktionen abgreift und die Grundlage für die nachfolgende Schadsoftware-Lieferung schafft. In diesem Schritt kommen zudem Typosquatting-Domains zum Einsatz, die kleine Schreibfehler nutzen, um Domain-Checks auf den ersten Blick auszutricksen.
Bevor eine eigentliche Payload ausgeliefert wird, arbeitet das Phishing-Kit gezielt die installierten Wallet-Erweiterungen im Browser ab. Dabei wird sowohl der Standard EIP-6963 als auch auf ältere, sogenannte Legacy-Methoden zurückgegriffen, um vorhandene Krypto-Erweiterungen zu erkennen. Diese Entscheidung ist sicherheitstechnisch relevant, weil sie die Erfolgsquote erhöht: Selbst wenn ein Nutzer aktuellere Wallet-Kompatibilität nutzt, kann das Kit die notwendigen Hooks finden; und falls ältere Integrationen noch aktiv sind, werden auch diese ausgenutzt. Ergänzend wird ein ClickFix-Ansatz beschrieben, bei dem die Zwischenablage (Clipboard) des Nutzers manipuliert wird, um die Ausführung bösartiger Befehle wahrscheinlicher zu machen. Genau solche Zwischenablage-basierenden Tricks sind in der Praxis schwer zu blocken, weil Nutzer Routinen wie Kopieren und Einfügen ansonsten als harmlose Produktivitätsschritte betrachten.
Für die Schadsoftware-Lieferung wird die Angriffskette plattformspezifisch ausgebaut. Unter Windows werden PowerShell-Loader verwendet, die explizit so konfiguriert sind, dass Erkennungsschichten, insbesondere im Umfeld von Windows Defender, umgangen oder verzögert werden. Das ist nicht nur eine reine „Ladefunktion“, sondern Teil der Umgehungslogik der gesamten Kette: Erst wenn die nachfolgenden Komponenten unauffälliger laufen, steigt die Chance auf einen vollständigen Durchlauf. Auf macOS werden wiederum gefälschte Installer eingesetzt, die einen Stealer enthalten. Für Security-Teams bedeutet das: Eine einheitliche „Signature-only“-Betrachtung greift zu kurz, weil der Nutzpfad je Betriebssystem unterschiedlich ausfällt und damit auch die Telemetriepfade, die man überwachen muss, auseinanderlaufen.
Die Kampagne wirkt dabei nicht breit gestreut, sondern auf Selektivität getrimmt. Sicherheitsanalysen nennen mehr als 80 Lookalike-Domains und über 100 dokumentierte Angriffsziele; etwa 80 % davon entfallen auf Unternehmen aus dem Krypto- und Blockchain-Umfeld. Insgesamt wurden über 100 Opfer in mehr als 20 Ländern beobachtet, was eine Mischung aus zielgerichteter Auswahl und gleichzeitig breiter geographischer Angreifbarkeit nahelegt. Besonders im Fokus stehen Entscheidungsträger: Rund 45 % der identifizierten Opfer sind CEOs oder Gründer. Zudem wird die Angriffsleistung als kritisch beschrieben, da eine vollständige Kompromittierung in unter 5 Minuten möglich sein soll. Das ist strategisch entscheidend, weil es den Zeitfenster-Effekt verstärkt: Wenn frühe Erkennung zu spät greift, bleibt zu wenig Zeit, um sowohl Benutzerinteraktionen als auch Endpunkt-Reaktionen zu stoppen.
Auch bei den Zeitachsen und forensischen Indizien wird der Betrieb als „aktiv“ eingeordnet. Zwischen dem 22.04.2026 und dem 15.07.2026 werden vier verschiedene macOS-Varianten der Schadsoftware beschrieben; das Phishing-Kit selbst soll im Zeitraum vom 31.05.2026 bis zum 14.07.2026 in fünf Versionen dokumentiert worden sein. Zusätzlich deuten Beobachtungen auf eine noch unvollständige Variante des Phishing-Kits für Google Meet hin. Forensisch wird berichtet, dass Quellcode-Analysen nach dem Aufdecken von JavaScript Source Maps stattfanden und die Aktivitäten vornehmlich in üblichen nordkoreanischen Geschäftszeiten verortet wurden. Für die Verteidigung ist das weniger „Krawall um Zeit“ als ein Hinweis auf Prozessdisziplin: Wer Angriffe kontinuierlich iteriert, muss nicht auf einen einzelnen Kampagnenpeak warten, sondern kann mehrere Erfolgskurven nutzen.
Praktisch sollten Unternehmen im Krypto-Umfeld vor allem die leicht angreifbaren Verbindungen zwischen Identität, Kommunikation und Endpunkt härten. Aus der beschriebenen Vorgehenslogik lassen sich als Prioritäten vor allem die Verifizierung von Meeting-Links und unaufgeforderte Kontaktanfragen über soziale Medien ableiten, ergänzt durch konsequente Checks von Zielseiten vor jeder Interaktion. Daneben wird deutlich, dass Endpunkt-Schutz nicht als „letzte Barriere“ verstanden werden darf: Da der Windows-Zweig über PowerShell-Loader und gezielte Defender-Konfiguration läuft und der macOS-Zweig gefälschte Installer mit Stealer-Logik nutzt, braucht es eine breit verteilte Telemetrie aus Prozess- und Browser-Events. Das Ziel ist, Auffälligkeiten so früh zu erkennen, dass der Angriff gar nicht erst in die Wallet-Enumeration und Clipboard-Trigger übergehen kann.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "KI-Avatare in Phishing-Kampagne: BlueNoroff zielt auf Krypto-Wallets über gefälschte Video-Calls" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "KI-Avatare in Phishing-Kampagne: BlueNoroff zielt auf Krypto-Wallets über gefälschte Video-Calls" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »KI-Avatare in Phishing-Kampagne: BlueNoroff zielt auf Krypto-Wallets über gefälschte Video-Calls« bei Google Deutschland suchen, bei Bing oder Google News!