LONDON (IT BOLTWISE) – In aktuellen Kampagnen mit vertauschten Zoom- und Teams-Domains nutzt eine nordkoreanisch ausgerichtete Gruppe ein wiederverwendbares Phishing-Kit, um gezielt Kryptowährungs-Wallets auszuspähen. Entscheidend ist, dass das Tool nach dem Start nicht nur Malware ausliefert, sondern auch Telegram-Sitzungen entführt, damit aus einem kompromittierten Account die nächste Zielperson angestoßen wird. Zusätzlich erscheint im Fake-Meeting ein scheinbar vertrautes Gesicht samt Mimik, obwohl das Video aus vorab erstellten, KI-generierten Headshots besteht. Unternehmen müssen dadurch stärker auf Identitäten, Kommunikationskanäle und Client-Trust-Ketten achten – nicht nur auf klassische URL-Filter.
Hinter den sogenannten ClickFix-ähnlichen Kampagnen, die mit Tippfehler-Domains für Zoom und Microsoft Teams arbeiten, steht nach aktuellen Analysen ein aktives Phishing-Kit, das sich auf Videokonferenz-Imitation als Einstieg spezialisiert. Die beobachtete Gruppe, die in diesem Kontext als BlueNoroff beschrieben wird, kombiniert dabei mehrere Schritte zu einer wiederholbaren „Victim-Acquisition-Pipeline“: erst werden Kontakte und Vertrauensbeziehungen ausgenutzt, dann erfolgt die Social-Engineering-Phase, anschließend folgt die Wallet-Recherche und erst danach die Malware-Zustellung. Aus Verteidigersicht ist das vor allem deshalb relevant, weil der Angriff nicht wie ein einzelner Phishing-Click funktioniert, sondern wie eine Kette, in der jede erfolgreiche Kompromittierung neue Ziele vorbereitet.
Der Ablauf setzt auf einen initialen Zugang über kompromittierte oder bereits vertrauenswürdige Kontakte. Laut der Beschreibung der Kampagnenlogik werden dafür legitime Telegram-Konten aus dem Kryptowährungs-Umfeld missbraucht, um hochrangige Mitarbeitende großer Unternehmen anzuschreiben und ihnen anschließend einen Termin-Link zu schicken. Der Link führt den Zielrechner in eine gefälschte Seite, die als Zoom-Meeting getarnt ist, tatsächlich aber eine Domain imitiert, die nicht zu dem echten Videodienst gehört. Für Opfer heißt das: Das Formular fordert den Namen an und verlangt die Berechtigung, die Webcam zu nutzen. Wenn die Berechtigung erteilt ist, wird der Videostream nicht einfach „für alle sichtbar“ übertragen, sondern laut Analyse über mediasoup WebRTC an ein Steuer-Panel der Angreifer geleitet – das erspart den Angreifern vermeintlich komplexe Infrastrukturarbeit und macht die Session kontrollierbar.
Besonders auffällig ist die Darstellung im Fake-Meeting. Nachdem das Opfer der virtuellen Besprechung „beigetreten“ ist, sieht es eine zweite Seite, auf der es allein in der Runde wirkt und gleichzeitig eine Statusmeldung „waiting for other participants“ angezeigt bekommt. Damit wird das Opfer in einem Zustand gehalten, in dem der nächste Angriffsschritt nahtlos greifen kann: Die Betreiber können die Sitzung weiter steuern, etwa indem sie scheinbar nur „bei der Person“ auftretende Probleme wie „your mic isn’t working“ durch Nachrichten simulieren. Danach wird das Update-Thema für den eigentlichen Payload genutzt: Per Trigger wie „Zoom SDK Update“ wird die ClickFix-Nachladung ausgelöst. Parallel dazu führt das Kit eine Fingerprint-Phase im Browser durch, um vorhandene Kryptowährungs-Wallets zu inventarisieren. Auf dieser Basis werden aus der Telegram-Session gezielt weitere Kontakte des Opfers kontaktiert, wodurch sich der Angriff als selbsttragende Angriffskette „am Leben“ erhält.
Der technische Twist liegt jedoch nicht nur in der Session-Übernahme, sondern in der Bildwirkung. Die Videodarstellung ist nach den vorliegenden Details kein Live-Stream aus einer echten Sitzung, sondern ein vorbereiteter Clip, der über authentische Körperbewegungen gelegt wird, die in früheren Meetings aufgenommen wurden. Die Gesichter entstehen dabei als KI-generierte Headshots, die für die jeweilige Personengruppe eingesetzt werden und anschließend in das Video eingepasst werden. Der Effekt: Das Fake-Meeting zeigt ein plausibel vertraut wirkendes Gesicht, das sich entsprechend der Körperbewegungen bewegt, wodurch die „Abweichung“ gegenüber echten Gesprächen sinkt. Dass solche Deepfake-Elemente kombiniert mit Wallet-Profiling und Telegram-Account-Übernahme auftauchen, zeigt einen klaren Trend in Richtung „Targeting über Vertrauen“: Nicht nur die Infrastruktur wird angegriffen, sondern die Personen, die über den Zugang entscheiden und soziale Beziehungen steuern.
Für Windows ist der Ablauf als Kill-Kette beschrieben, in der ein ClickFix-Befehl zunächst einen PowerShell-Loader startet. Dieser lädt und führt anschließend ein VBScript aus, deaktiviert Microsoft Defender, fügt den Pfad „C: \Users“ in die Ausschlussliste ein und erzwingt einen Neustart von Defender, damit die Änderungen unmittelbar wirken. Danach prüft das VBScript, ob Telegram-Web-bezogene Dateien in den Profilverzeichnissen gängiger Browser existieren (Google Chrome, Microsoft Edge, Brave und Mozilla Firefox). Ziel dieser Prüfung ist vermutlich, aktive Telegram-Accounts zu erkennen, um anschließend Session-Cookies für eine Account-Übernahme zu nutzen. Ergänzend werden installierte Browser-Erweiterungen aufgelistet, inklusive Extension-IDs, und mit bekannten Wallet-Erweiterungen wie MetaMask abgeglichen, um besonders wertvolle Ziele herauszufiltern. Der Einstieg ist damit stark „clientbasiert“: Erholung und Persistenz hängen von Browser-Profilen, Erweiterungen und Berechtigungen ab, nicht nur von einem serverseitigen Exploit.
Auf macOS ist die Kette anders verschaltet: Der ClickFix-Befehl startet ein Shell-Skript, das wiederum einen gefälschten Teams- oder Zoom-Installer nachlädt. Der Installer bringt einen Stealer-Payload zum Einsatz, der laut Beschreibung sensible Daten extrahiert und exfiltriert, darunter System-Metadaten und Google-Chrome-Master-Keys aus dem iCloud Keychain-Kontext. Für den Abtransport wird ein Telegram-Kanal namens „Aurora“ genutzt; außerdem soll die Exfiltrationsfunktion fest verdrahtete Werte wie Bot-Token und Chat-ID im Binary hinterlegen. Die Analyse verknüpft diese Telegram-Kommunikation mit einem Betreiber, der unter dem Namen „John“ und dem Handle @alchemy_john_mac auftritt; in einer Beobachtung bis in den Mai 2026 hinein wurde zudem beschrieben, dass die Person in einer Krypto-Community Fragen zu Vesting-Verträgen stellt und Gelder abzieht. Ergänzend wird erwähnt, dass zwischen dem 31. Mai und dem 14. Juli 2026 fünf verschiedene Versionen des Phishing-Kits gefunden wurden, was auf laufende Entwicklung und Feinschliff hindeutet.
Auch die Wahl des Zielvorgangs wirkt nicht zufällig. Die Kampagnen unterstützen nach den vorliegenden Angaben ClickFix-Angriffsketten sowohl für Windows als auch für macOS und liefern zunächst primär Lure-Seiten zu Zoom und Teams. Die Teams-Variante wird dabei als „polierter“ eingeschätzt: Sie soll unter anderem Emoji-Reaktionen, Blocking für Mobile/Tablet sowie fortgeschrittenere Wallet-Probes vor der Malware-Zustellung unterstützen. Als Begründung für die Fokussierung wird eine Kombination aus dem „Hook“ rund um ein scheinbares SDK-Update, der Passung der Zielanwendung zum Nutzerprofil und der technischen Angriffsfläche durch Typosquatting genannt: Während Zoom- und Teams-Domains im Alltag mit passenden Desktop-Clients stärker im Gedächtnis verankert seien, sei ein Browser-first-Angebot wie Google Meet weniger „vermutungslogisch“ für solche Täuschungen, und typische Domainmuster ließen sich schwerer imitieren. Interessant ist außerdem, dass in der Quellbasis ein Google-Meet-Äquivalent als unimplementierter Stub existiert, was auf planbare Erweiterung hindeutet, aber im aktuellen Stand noch nicht ausgerollt wird.
Für Unternehmen ergibt sich daraus ein breites, eher operatives als rein technisches Sicherheitsbild. Das Muster zeigt, wie schnell sich Bedrohungen von „Datei aus dem Download“ hin zu „Konto- und Kommunikationskanal-Manipulation“ verschieben: Eine erfolgreiche Telegram-Session-Übernahme bedeutet, dass das Vertrauen des Opfers in seine Kontakte direkt als Multiplikator dient. Der konkrete Handlungsbedarf liegt damit bei Identitäts- und Vertrauensketten: Wo verifizieren Teams- oder Zoom-Besprechungen Einladungen wirklich, wie werden Berechtigungen zur Webcam abgesichert, und wie schnell erkennen Monitoring-Lösungen Browser-Fingerprinting, ungewöhnliche WebRTC-Datenflüsse oder die Kombination aus Lure-Seite und folgenden SDK-Update-Trails? Zusätzlich sollten Security-Teams die Wallet-Erweiterungen und Browser-Kontexte im Blick behalten, weil die Kampagne genau dort Wert extrahiert, bevor sie überhaupt die nächste Payload nachlädt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "BlueNoroff: Phishing-Kit macht KI-Video-Deepfakes und stiehlt Telegram-Sessions" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "BlueNoroff: Phishing-Kit macht KI-Video-Deepfakes und stiehlt Telegram-Sessions" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »BlueNoroff: Phishing-Kit macht KI-Video-Deepfakes und stiehlt Telegram-Sessions« bei Google Deutschland suchen, bei Bing oder Google News!