Północnokoreańska grupa BlueNoroff rozwija kampanię, w której podszywa się pod popularne platformy do wideokonferencji, aby nakłonić ofiary do uruchomienia złośliwego oprogramowania. Według firmy JUMPSEC, której raport opisał The Hacker News, operatorzy połączyli przejmowanie zaufanych kontaktów, inżynierię społeczną, rozpoznawanie portfeli kryptowalutowych i dostarczanie malware w powtarzalny proces pozyskiwania ofiar. Szczególnie istotne jest to, że portfel ofiary jest profilowany jeszcze przed próbą dostarczenia końcowego ładunku.
Zaufany kontakt jako początek ataku
Kampania zaczyna się od przejętego konta Telegrama należącego do osoby znanej ofierze, często związanej z branżą kryptowalutową. Napastnicy wykorzystują fakt, że wiadomość pochodzi od kontaktu, z którym odbiorca miał wcześniej relację zawodową lub osobistą. W opisanych przypadkach do wiadomości dołączany jest link do spotkania zaplanowanego za pomocą usługi Calendly. Taki sposób rozpoczęcia kontaktu pozwala ominąć część ostrożności, która zwykle towarzyszy wiadomościom od nieznanych nadawców.
Link prowadzi następnie do strony przypominającej zaproszenie na spotkanie Zoom albo Microsoft Teams. Domena nie należy jednak do właściwej usługi, lecz została przygotowana tak, aby naśladować jej adres i wygląd. Po wejściu na stronę użytkownik może zostać poproszony o podanie imienia oraz przyznanie dostępu do kamery. W praktyce strona nie służy wyłącznie do obsługi rozmowy. Zebrane informacje i zachowanie użytkownika są wykorzystywane do dalszego sterowania przebiegiem oszustwa.
- Pierwszym wektorem dostępu jest przejęte, zaufane konto Telegrama.
- Fałszywe zaproszenia prowadzą do stron podszywających się pod Zoom lub Microsoft Teams.
- Napastnicy symulują problemy techniczne, takie jak niedziałający mikrofon lub nieaktualny komponent spotkania.
- Przed dostarczeniem malware zestaw rozpoznaje, czy środowisko ofiary zawiera portfele kryptowalutowe.
Spotkanie jest kontrolowaną sceną
Po wejściu na stronę ofiara trafia do pozornie działającego spotkania. W jednym z opisanych wariantów widzi ekran, na którym wygląda, jakby dołączyła do rozmowy, ale pozostawała sama i czekała na innych uczestników. Operator może z poziomu panelu sterować elementami tej sceny, wysyłać komunikaty o problemach z mikrofonem i wywoływać rzekomą aktualizację aplikacji Zoom. To właśnie ten etap jest powiązany z techniką ClickFix, w której użytkownik jest nakłaniany do wykonania działań przedstawianych jako naprawa problemu technicznego.
JUMPSEC ustalił również, że przejęcie konta Telegrama może pomóc w rozprzestrzenianiu kampanii. Jeśli złośliwy ładunek zostanie uruchomiony w środowisku, w którym ofiara korzysta z Telegrama w przeglądarce lub ma zainstalowaną aplikację komputerową, napastnicy mogą próbować przejąć jej sesję. Następnie przejęte konto może zostać wykorzystane do wysyłania podobnych wiadomości do kolejnych kontaktów. W efekcie jeden skuteczny atak zwiększa wiarygodność następnych prób i ułatwia dotarcie do nowych osób.
Badacze opisali także nietypowy sposób prezentowania uczestnika fałszywego spotkania. Obraz wyświetlany ofierze nie jest transmisją na żywo, lecz wcześniej przygotowanym materiałem. Wykorzystano w nim wygenerowane przez sztuczną inteligencję wizerunki twarzy połączone z autentycznymi ruchami ciała zarejestrowanymi podczas wcześniejszych spotkań. Według JUMPSEC materiały z kolejnych udanych ataków mogą dostarczać nowych elementów do przygotowywania wiarygodniejszych nagrań dla następnych celów.
Profilowanie portfeli przed dostarczeniem malware
Najważniejszym elementem opisanego zestawu jest rozpoznanie środowiska użytkownika przed przejściem do kolejnego etapu. Phishing kit sprawdza przeglądarkę i inwentaryzuje obecność portfeli kryptowalutowych. Nie chodzi więc wyłącznie o masowe rozsyłanie tego samego ładunku. Informacje o środowisku mogą pomóc operatorom ocenić, czy dana osoba jest atrakcyjnym celem, a następnie wybrać dalszy sposób postępowania. JUMPSEC określa tę konstrukcję jako platformę pozyskiwania ofiar sterowaną przez operatora.
Kampania jest kompatybilna zarówno z systemem Windows, jak i macOS. Firma zidentyfikowała dwa główne warianty przynęt, przygotowane osobno dla Zoom i Microsoft Teams. Wersja wykorzystująca Teams została oceniona jako bardziej dopracowana. Obsługuje między innymi reakcje emoji, ogranicza dostęp z urządzeń mobilnych i tabletów oraz przeprowadza bardziej zaawansowane rozpoznanie portfeli przed próbą dostarczenia złośliwego oprogramowania.
- Przed uruchomieniem nieznanego składnika warto niezależnie potwierdzić zaproszenie u organizatora spotkania.
- Prośby o wykonanie nietypowych działań w celu naprawy kamery, mikrofonu lub aktualizacji aplikacji powinny być traktowane jako sygnał ostrzegawczy.
- Konta komunikatorów, zwłaszcza używane do kontaktów zawodowych, wymagają ochrony sesji i kontroli aktywnych logowań.
- Osoby zarządzające aktywami cyfrowymi powinny uwzględniać bezpieczeństwo relacji i kanałów komunikacji, nie tylko samych portfeli.
Dlaczego wykorzystano Zoom i Teams
Zdaniem Seana Morana z JUMPSEC wybór Zoom i Microsoft Teams może wynikać z połączenia kilku czynników. Obie platformy są powszechnie kojarzone z cięższymi aplikacjami komputerowymi, dlatego pretekst dotyczący nieaktualnego komponentu lub pakietu SDK może brzmieć wiarygodnie. Są też często używane w kontaktach biznesowych, inwestycyjnych i technologicznych, czyli w środowiskach, w których informacje o aktywach cyfrowych mogą mieć dla napastników szczególną wartość.
Znaczenie ma również podobieństwo fałszywych adresów do prawdziwych linków do spotkań. Wieloczłonowe adresy związane z Zoomem i Teams mogą na pierwszy rzut oka wyglądać jak zwykłe zaproszenia, co ułatwia wykorzystanie błędu użytkownika. JUMPSEC zauważył, że w kodzie zestawu znajduje się także niewdrożony wariant związany z Google Meet. Może to oznaczać, że operatorzy świadomie koncentrują się obecnie na platformach, które najlepiej pasują do wybranego pretekstu i grupy docelowej.
Aktywność wskazuje na bieżące rozwijanie infrastruktury. Analiza przeprowadzona przez JUMPSEC doprowadziła do wykrycia pięciu odrębnych wersji phishing kitu działających od 31 maja do 14 lipca 2026 roku. Badacze wiążą tę zmianę z dalszym dostrajaniem narzędzia. Z kolei Sekoia dokumentuje od początku 2025 roku powiązaną aktywność określaną jako ClickFake Interview, nazwaną tak ze względu na wykorzystanie przynęt podobnych do ClickFix.
Opis kampanii pokazuje zmianę w sposobie myślenia o celach ataków na branżę Web3. Napastnicy nie muszą uderzać bezpośrednio w infrastrukturę przechowującą aktywa, jeśli mogą najpierw zdobyć dostęp do osoby, jej relacji biznesowych lub kanałów komunikacji. BlueNoroff łączy te elementy z rozpoznaniem środowiska i kontrolowanym scenariuszem spotkania. Dla organizacji oznacza to konieczność traktowania tożsamości, zaufanych kontaktów i komunikatorów jako części powierzchni ataku, obok urządzeń, aplikacji i portfeli.
