Ложный Zoom, настоящие воры: северокорейские хакеры BlueNoroff сканируют ваши криптокошельки

Ваш микрофон не работает? Возможно, это ловушка. Компания по кибербезопасности JUMPSEC только что разоблачила последнюю кампанию BlueNoroff, которая является ответвлением печально известной группы Lazarus, работающей на Пхеньян. В программе: ложные встречи в Zoom и Microsoft Teams, украденные аккаунты Telegram и вредоносное ПО, которое инвентаризирует кошельки своих жертв еще до удара. Профессионалы в области криптовалют в первую очередь становятся мишенью, как на Windows, так и на macOS.

Ключевые моменты {#h-points-cles}

• BlueNoroff, связанный с северокорейской группой Lazarus, ловит криптопрофессионалов через ложные встречи в Zoom и Microsoft Teams, отправленные с украденных аккаунтов Telegram.
• Фишинговый комплект инвентаризирует расширения кошельков браузера, чтобы приоритизировать самые богатые цели перед тем, как доставить вредоносное ПО.
• Вредоносное ПО поражает Windows и macOS: учетные данные, ключи Chrome и сессии Telegram эксфильтруются через бота Telegram, с компрометацией менее чем за пять минут.
• Согласно Chainalysis, Северная Корея украла рекордные около 2 миллиардов долларов в криптовалютах в 2025 году, с общим уловом, превышающим 6,75 миллиарда с 2017 года.

Пять минут, чтобы поймать жертву {#h-cinq-minutes-chrono-pour-pieger-une-victime}

Все начинается с безобидного сообщения. Цель получает приглашение через украденный аккаунт Telegram реального контакта или по ссылке на встречу Calendly. Встреча ведет к ошибочно написанному домену, то есть адресу, почти идентичному легитимной платформе. Более 80 доменов, имитирующих Zoom или Teams, были зарегистрированы с конца 2025 года, согласно исследователям.

Ложная комната для встреч доводит реализм до предела. Операторы отображают фиктивных участников, иногда сгенерированных ИИ или переработанных из изображений предыдущих жертв. С панели управления хакер анимирует сцену в реальном времени и отправляет известное сообщение: ваш микрофон не работает.

Какое решение предлагается? Установить предполагаемое обновление SDK (набора для разработки программного обеспечения) Zoom. Этот предлог на самом деле запускает атаку типа ClickFix: страница копирует вредоносную команду в буфер обмена, и жертва выполняет ее сама в своем терминале. В нескольких задокументированных случаях полная компрометация машины заняла менее пяти минут.

Вредоносное ПО, которое сортирует свои цели по кошельку {#h-un-malware-qui-trie-ses-cibles-au-portefeuille}

Настоящая новизна заключается в фазе разведки. Пока жертва пытается решить свою ложную проблему с микрофоном, фишинговый комплект сканирует ее браузер и составляет список установленных расширений кошельков, начиная с MetaMask. Операторы могут таким образом оценить ценность каждой цели и зарезервировать свои самые сложные нагрузки для наиболее обеспеченных аккаунтов.

Затем происходит инфекция, адаптированная к системе жертвы. На Windows цепочка выполнения устанавливает постоянство, удаленный контроль и кражу учетных данных. На macOS отображается ложный установщик Zoom или Teams, в то время как кража данных в фоновом режиме извлекает системную информацию, мастер-ключи Chrome, хранящиеся в связке Apple, и сессии Telegram. Данные затем отправляются к боту Telegram, и вредоносное ПО может загрузить дополнительную нагрузку. JUMPSEC зафиксировала четыре варианта macOS с 22 апреля по 15 июля, что свидетельствует о постоянной доработке инструментов в ходе кампании.

< Злоумышленники все чаще признают, что компрометация людей, контролирующих доступ, может быть столь же ценна, как атака на саму инфраструктуру. >

Исследователи JUMPSEC в своем отчете

Пхеньян и его индустрия крипто-краж {#h-pyongyang-et-son-industrie-du-crypto-casse}

BlueNoroff не действует в одиночку. Группа принадлежит галактике Lazarus, этому цифровому вооруженному крылу северокорейского режима, которое уже создало ложные компании, чтобы поймать разработчиков, и на которое нависли серьезные подозрения в хаке Upbit. Цифры впечатляют: согласно Chainalysis, Северная Корея украла рекордные около 2 миллиардов долларов в криптовалютах только за 2025 год, включая кражу Bybit на 1,5 миллиарда долларов. С 2017 года общий улов Пхеньяна превышает 6,75 миллиарда долларов, что позволяет финансировать его программы вооружений на долгосрочной основе.

Перед противниками такого калибра несколько простых рефлексов остаются лучшей защитой. Всегда проверяйте точный домен ссылки на встречу, даже если она отправлена близким, так как его аккаунт Telegram мог быть украден. Никогда не вставляйте команду в свой терминал по запросу веб-сайта, ни одна легитимная видеоконференция этого не требует. И храните основную часть своих средств на аппаратном кошельке, изолированном от вашего рабочего компьютера: в день, когда ложный Zoom позвонит, он не найдет ничего для сканирования.

Отказ от ответственности: Данный контент предоставляется исключительно в целях общего брендинга и предоставления информации и не является финансовой, инвестиционной, юридической или налоговой консультацией. Любые события, вознаграждения, онлайн-мероприятия или связанная с ними информация, упомянутые здесь, не должны рассматриваться как рекомендация, предложение или приглашение к покупке, продаже, торговле или иным операциям с криптоактивами или к использованию каких-либо услуг. Криптовалюты обладают высокой волатильностью и могут привести к убыткам. Услуги WEEX и онлайн-мероприятия могут быть недоступны во всех регионах и регулируются применимыми законами, правилами и требованиями к участию. Вы несете ответственность за обеспечение соответствия использования вами услуг WEEX местным законам и за тщательную оценку рисков перед участием в любой деятельности, связанной с криптовалютами.