LONDON (IT BOLTWISE) – Ein auf Zoom- und Teams-Impersonation spezialisiertes Phishing-Kit nutzt Telegram als Verteil- und Abflusskanal, um zunächst Krypto-Wallets zu prüfen und erst danach Schadsoftware zu starten. Ermittler berichten, dass das Tool WebRTC-Streams aus einem Operator-Panel heraus kapert und dabei gefälschte Videoinhalte mit KI-gestützten Kopfaufnahmen kombiniert. Entscheidend ist der „Session-Diebstahl“-Ansatz: Wer den Payload ausführt, kann Ziel von Folgeangriffen über die eigenen Kontakte werden. Für Sicherheitsverantwortliche verschiebt sich damit der Fokus von isolierten Endpoint-Fehlern hin zu Identitäten und Kommunikationsbeziehungen.
Der Name „BlueNoroff“ steht in diesem Fall weniger für eine einzelne Schadkomponente als für eine wiederverwendbare Angriffslogik: Ein Phishing-Kit, das vermeintliche Videokonferenz-Einladungen für Zoom oder Microsoft Teams in reale Malware-Delivery übersetzt. Laut einem Bericht eines auf Threat Research spezialisierten Unternehmens richten sich die Kampagnen an Opfer, indem sie deren Vertrauen in bekannte Kontakte und die typische Social-Engineering-Dynamik von Terminen im Arbeitsalltag ausnutzen. Statt blind massenhaft zu deployen, wird die Zielauswahl über Krypto-Kontext gesteuert: Vor der eigentlichen Schadsoftware wird erfasst, welche Krypto-Wallets im Browser vorhanden sind.
Technisch betrachtet beginnt die Kampagne nicht am „Meeting“-Link, sondern bereits in der vorgelagerten Kontaktphase. Angreifer verwenden kompromittierte, als vertrauenswürdig geltende Branchenkontakte als Initialzugang und bauen daraus eine selbstpropagierende Kette. Dabei übernehmen sie legitime Telegram-Accounts von Personen aus dem Krypto-Umfeld, um hochrangige Mitarbeitende größerer Unternehmen direkt anzuschreiben. Anschließend versprechen sie über eine Calendly-Einbindung eine konkrete Besprechung, die nach außen wie ein Zoom-Termin wirkt, intern aber als gefälschte Domain getarnt ist.
Der eigentliche Rendervorgang für das „Meeting“ wird dann über eine WebRTC-Transportlogik umgesetzt, die für Opfer kaum als Angriff erkennbar ist. Wer die Phishing-Seite aufruft, wird zunächst zur Eingabe des Namens aufgefordert und soll Webcam-Zugriff gewähren. Sobald die Berechtigung erteilt ist, wird der Webcam-Stream jedoch nicht an „andere Teilnehmende“ weitergeleitet, sondern an das Operator-Panel der Angreifer übertragen; als Oberfläche dient eine täuschend wirkende Videokonferenz-Ansicht. Diese UI-Schicht wird im weiteren Verlauf mit einer Folgeillusion gekoppelt: Nach dem Eintritt scheint das Opfer scheinbar allein im Call zu sein und sieht eine Meldung wie „warten auf andere Teilnehmende“. Damit entsteht der psychologische Druck, dass das Problem „gleich gelöst“ wird – ein Hebel, den Operatoren im nächsten Schritt ausspielen können.
Besonders auffällig ist, dass das Kit nicht nur einen statischen Fake-Stream liefert, sondern den Inhalt adaptiv gestaltet. Vor oder während der Session wird eine Fingerprinting-Phase im Browser ausgeführt, um installierte Krypto-Wallets zu inventarisieren. Erst danach tritt der „Admin“ im Fake-Meeting auf. Der Videoanteil ist zudem kein Live-Feed, sondern ein vorbearbeitetes Video: Es nutzt KI-generierte Kopfaufnahmen (in der Berichterstattung als KI-Headshots beschrieben) und legt diese über authentisch wirkende Körperbewegungen aus früheren Meetings. Aus Angreifersicht entsteht dadurch eine glaubwürdige Personendarstellung, die sowohl visuelle Plausibilität als auch wiedererkennbare Mimik und Gestik nachbilden kann – eine Kombination, die für Targeting und Vertrauen in B2B-Situationen besonders wirksam ist.
Die „Kill Chains“ unterscheiden sich je nach Betriebssystem, verfolgen aber das gleiche Kernziel: erstumfeldabhängige Prüfung, dann gezielte Kompromittierung. Unter Windows startet ein PowerShell-Loader, der anschließend eine VBScript-Implant ausführt. Diese Phase greift Sicherheitsmechanismen an, indem Microsoft Defender deaktiviert, ein Benutzerordnerpfad in Exclusions aufgenommen und Defender anschließend erzwungen neu gestartet wird, damit die Ausnahmen aktiv bleiben. Danach sucht die Implantat-Komponente nach Telegram-Web-bezogenen Dateien in typischen Browser-Profilverzeichnissen und enumeriert zudem installierte Browser-Erweiterungen über eine breite Liste von Chromium- und Firefox-Varianten. Die Erweiterungs-IDs werden mit bekannten Wallet-Erweiterungen abgeglichen, um „high-value“-Ziele zu identifizieren; im nächsten Schritt kann das Kit weitere Payloads nachladen.
Auf macOS läuft das Muster als Shell-Skript mit Download eines gefälschten Teams- (oder Zoom-)Installers an. Der Installer startet dann eine Hauptstealer-Komponente, die Daten extrahiert und über einen Telegram-Kanal an die Operatorseite sendet. In der Beschreibung taucht dabei ein Kanalname namens „Aurora“ auf; außerdem wird erwähnt, dass auch Systemmetadaten und Master Keys aus dem iCloud Keychain-Umfeld an die Angreifer übermittelt werden. Technisch relevant ist dabei die Telegram-Anbindung: Der Exfiltrationsmechanismus hardcodet Bot-Token und Chat-ID im Binärfile, wodurch die Zuordnung zu einem Operator möglich wurde. Der Bericht beschreibt zudem eine anhaltende Weiterentwicklung: Es seien mehrere unterschiedliche Versionen des Phishing-Kits über einen Zeitraum von Ende Mai bis Anfang bis Mitte Juli 2026 beobachtet worden, was auf aktives Fine-Tuning hindeutet.
Warum trifft das Kit so gezielt Zoom- und Teams-Texte, nicht aber (zumindest im aktuellen Einsatz) Google Meet? In der Auswertung werden drei Gründe genannt: der „ClickFix“-Vorwand, die Passung zur Zielgruppe und die Angriffsoberfläche durch Typosquatting. Zoom und Teams gelten in bestimmten Finanz- und Krypto-Kontexten als Standard für Calls; außerdem existieren Desktop-Clients, die den Social-Engineering-Frame stützen, während Google Meet stärker browser-first wahrgenommen wird. Auch das Domain-Design spielt eine Rolle: Die verwendeten Link-Schemata mit mehreren Subdomains ähneln echten Zoom-Links so stark, dass typische Tippfehler oder flüchtige Lesemuster ausreichen können. Gleichzeitig soll im Quellcode zwar ein Google-Meet-Äquivalent als Stub vorhanden sein, jedoch nicht ausgerollt werden – offenbar als bewusste Entscheidung, solange die aktuelle Kombination funktioniert. Für Unternehmen ist die Schlussfolgerung klar: Wenn Angriffe zuerst Beziehungen und Identitäten kompromittieren und erst danach über Weboberflächen, Browserprofile und Session-Mechanismen verwerten, müssen Security-Programme stärker in Richtung Kommunikationskanäle, Account-Hygiene und erkennbarer Session-Aktualität gedacht werden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "BlueNoroff: Phishing-Kit für Zoom/Teams stiehlt Krypto-Wallets vor Malware-Delivery" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "BlueNoroff: Phishing-Kit für Zoom/Teams stiehlt Krypto-Wallets vor Malware-Delivery" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »BlueNoroff: Phishing-Kit für Zoom/Teams stiehlt Krypto-Wallets vor Malware-Delivery« bei Google Deutschland suchen, bei Bing oder Google News!