LONDON (IT BOLTWISE) – Eine nordkorea-nah verknüpfte Angreifergruppe nutzt gefälschte Zoom- und Microsoft-Teams-Termine, um Krypto-Nutzer vor dem eigentlichen Schadcode gezielt zu selektieren. Laut einer Analyse wird zunächst die Wallet-Verbindung im Browser geprüft, bevor ein passender Payload-Schritt folgt. Besonders perfide: Die Kampagne baut auf kompromittierten, als vertrauenswürdig wirkenden Telegram-Konten auf und verlängert so die Opferkette. Für Unternehmen wird damit vor allem klar, dass „Update“-Aufforderungen oder Meeting-Links von vermeintlich bekannten Kontakten nicht automatisch harmlos sind.
Gefälschte Videocalls sind für viele Nutzer mittlerweile Routine – genau diese Vertrautheit macht sich eine nordkorea-nah verknüpfte Gruppe zunutze. In einer neu analysierten Kampagne steht nicht nur der klassische Phishing-Mechanismus im Vordergrund, sondern ein mehrstufiger Entscheidungsprozess: Zuerst profilieren die Angreifer die Wallets von Besuchern auf einer Fake-Meeting-Seite, danach wählen sie abhängig vom Ergebnis den weiteren Verlauf der Infektion. Damit verschiebt sich der Fokus vom massenhaften Abgreifen auf ein selektives Vorgehen, das die Erfolgsquote bei „höherwertigen“ Zielen erhöhen soll.
Im Zentrum der Vorgehensweise liegt eine Browser-Umgebung, in der die Opfer noch keine Malware sehen – zumindest nicht sichtbar. Sobald ein Nutzer die vermeintliche Besprechungsseite öffnet, beginnt der Scanner, Wallet-Verbindungen zu erkennen. Laut JUMPSEC werden dafür unter anderem Ethereum-Wallets über EIP-6963 sowie ältere Browser-Integrationspfade identifiziert; zusätzlich prüft die Infrastruktur auch nicht-EVM-Wallets, darunter Solana-Tools. Die Resultate landen in einem Operator-Panel, ohne dass der Betroffene eine Warnung erhält. Entscheidend ist dabei das Timing: Die Walletdaten werden gesammelt, bevor die Angreifer die nächste Stufe auslösen.
Das Profiling ist damit auch deutlich granularer als bei vielen breit angelegten Kampagnen. Für Windows führt das Implant nach bisherigen Beobachtungen eine Liste von Extension-IDs über mehrere Browservarianten hinweg zusammen, darunter Chrome, Edge, Brave, Opera, Vivaldi und Firefox. Operatoren können diese IDs offenbar gegen bekannte Wallet-Extensions wie MetaMask abgleichen, um das Risiko und den Wert des Zielsystems besser einzuschätzen. JUMPSEC fasst diese Logik als „repeatable victim pipeline“, weil bereits eine gestohlene Telegram-Session genügt, um weitere vertrauenswürdige Kontakte anzuschreiben. Die Angreifer versuchen also, aus einem einzelnen kompromittierten Account eine durchlaufende Kontaktkette aufzubauen – nicht nur ein isoliertes Opfer pro Payload.
Wie der Einstieg wirkt, hängt eng an der Frage, wie sehr das Opfer dem Kommunikationskanal vertraut. Oft beginnt die Attacke über Telegram, wobei das System auf einen bestehenden Vertrauensanker setzt: Die Angreifer übernehmen Konten, die zur Krypto-Community gehören, und versenden dann Einladungen, die wie gewöhnliche Termin-Links aussehen. JUMPSEC beschreibt in diesem Zusammenhang auch eine Abzweigung über Calendly-ähnliche Einladungsmechaniken hin zu einem Lookalike-Meeting-Domain. Die Phishing-Seite selbst soll dann über den Videocall-Zugriff zusätzlich Glaubwürdigkeit herstellen: Beim Beitritt werden Name und Webcam-Zugriff abgefragt, anschließend wird der Kamerastream scheinbar an das Meeting „weitergereicht“, während der Kontrollzugriff tatsächlich in einem Panel der Angreifer endet.
Technisch setzt die Kampagne auf zwei Varianten – passend zur Zielumgebung. Unter Windows nutzt das System einen Ansatz über kopierte ClickFix-Befehle, die einen PowerShell-Loader nachladen: Dieser lädt einen VBScript nach, trägt zudem eine Microsoft-Defender-Ausnahme ein und startet Defender neu, damit die Änderung wirksam wird. Danach sammelt das Implant Systemdaten, prüft Browser nach Wallet-Extensions und sucht nach Telegram-Web-Dateien. Später können Operatoren weitere Payloads nachreichen; JUMPSEC konnte jedoch nicht alle Final-Stage-Dateien vollständig rekonstruieren, was vor allem auf die Dynamik während einer aktiven Kampagne hindeutet.
Unter macOS läuft der Angriff über einen gefälschten Zoom- oder Teams-Installer, während im Hintergrund ein Stealer aktiv bleibt. Die analysierten Varianten sammeln Systeminformationen und greifen auf Chrome Master Keys aus Apples Keychain zu; anschließend werden Daten über einen Telegram-Bot übertragen. In der Kampagnenhistorie nennt JUMPSEC vier macOS-Varianten zwischen dem 22. April und dem 15. Juli und leitet daraus ab, dass das Toolkit während des Angriffs fortlaufend angepasst wurde. Auffällig ist außerdem, dass die Telemetrie des Codes eine Trennung der Lures erkennen ließ: Separate Zoom- und Teams-Versionen, Operator-Kontrollen sowie unterschiedliche Malware-Delivery-Pfade für Windows und macOS. In der Beschreibung der Angriffsoptik spielt Teams zusätzlich „polierter“ wirkende Elemente ein: Emoji-Reaktionen, Geräteinstellungen und Hintergrundeffekte, während auch das Telegram-basierte Messaging als Transport- und Steuerkanal konsistent genutzt wird.
Damit ordnet sich die neue Analyse in eine Reihe früherer Erkenntnisse ein: Bereits zuvor wurde über BlueNoroff berichtet, unter anderem über zahlreiche Lookalike-Domains für Zoom und Teams sowie über Zielcluster mit Schwerpunkt in Krypto, Blockchain-Finanzierung und angrenzenden Investmentbereichen. Auch die Grundbausteine sind aus früheren Kampagnen bekannt – kompromittierte Telegram-Konten, spoofed Meeting-Einladungen und gefälschte „Software-Updates“ während eines angeblichen Calls. Was an der aktuellen Version besonders ins Gewicht fällt, ist die unmittelbare Kopplung aus Meeting-Lure und Wallet-Prüfung: Die Angreifer steuern so den Takt jedes Termins und entscheiden, wie weit sie die Intrusion treiben. Für die Praxis empfiehlt JUMPSEC, Meeting-Links aus „vertrauenswürdigen“ Kontakten kritisch zu verifizieren, ungewöhnliche Einladungen über einen zweiten Kanal abzugleichen und keine während des Calls angezeigten Befehle oder Update-Mechanismen auszuführen. Zudem sollten Organisationen Telegram-Sessions, die als kompromittiert gelten, widerrufen, Geräte isolieren, auf PowerShell-Aktivität und Defender-Ausnahmen achten und bei macOS insbesondere Keychain-Zugriffe sowie neue Telegram-Logins nachverdächtigen Calls nachverfolgen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Nordkorea-Hacker profilieren Krypto-Wallets per Fake-Video-Calls und liefern Malware" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Nordkorea-Hacker profilieren Krypto-Wallets per Fake-Video-Calls und liefern Malware" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Nordkorea-Hacker profilieren Krypto-Wallets per Fake-Video-Calls und liefern Malware« bei Google Deutschland suchen, bei Bing oder Google News!