BlueNoroff nutzt KI-Avatare: Gefälschte Zoom-Calls gegen Krypto-Wallets

Die nordkoreanische Hackergruppe BlueNoroff, eine Unterabteilung der Lazarus-Gruppe, setzt derzeit eine technisch fortschrittliche Kampagne ein, um gezielt Akteure der Kryptobranche zu kompromittieren. Laut aktuellen Analysen nutzt die Gruppierung gefälschte Einladungen zu Zoom- und Microsoft-Teams-Meetings, wobei sie Typosquatting-Domains und KI-generierte Avatare verwendet. Ziel dieser Angriffe ist es, Krypto-Wallets auf den Endgeräten der Opfer zu identifizieren und Schadsoftware zu installieren.

Technischer Ablauf und Einsatz von KI-Avataren

Der Angriffsvektor beginnt häufig mit der Übernahme legitimer Telegram-Accounts, über die der Erstkontakt zu potenziellen Opfern hergestellt wird. In den darauffolgenden Gesprächen werden die Zielpersonen zu Videokonferenzen eingeladen. Hierbei kommen Webseiten zum Einsatz, die den Anmeldeseiten bekannter Dienste wie Zoom oder Teams nachempfunden sind. Um die Glaubwürdigkeit zu erhöhen, setzt BlueNoroff KI-Avatare ein, die während der vorgetäuschten Treffen als Gesprächspartner fungieren.

Bevor die eigentliche Schadsoftware ausgeliefert wird, führt das Phishing-Kit der Angreifer Scans nach Browser-Wallets durch. Dabei nutzt BlueNoroff sowohl den Standard EIP-6963 als auch ältere Legacy-Methoden, um installierte Krypto-Erweiterungen aufzuspüren. Ein zentrales Element der Kampagne ist der sogenannte ClickFix-Angriff, bei dem die Zwischenablage (Clipboard) des Nutzers manipuliert wird, um die Ausführung bösartiger Befehle zu provozieren.

Plattformspezifische Schadsoftware für Windows und macOS

Die Angriffskette ist für verschiedene Betriebssysteme optimiert. Auf Windows-Systemen setzt die Gruppe PowerShell-Loader ein, die gezielt Ausnahmen im Windows Defender konfigurieren, um die Erkennung der nachfolgenden Payloads zu verhindern. Für macOS-Nutzer wurden gefälschte Installer entwickelt, die einen Stealer enthalten.

Die ausgefeilten Methoden von Hackergruppen wie BlueNoroff zeigen, dass technischer Schutz allein oft nicht ausreicht, wenn psychologische Manipulationstaktiken eingesetzt werden. In diesem kostenlosen Anti-Phishing-Paket erfahren Sie, wie Sie solche Angriffe frühzeitig entlarven und Ihr Unternehmen wirksam absichern. In 4 Schritten zur erfolgreichen Hacker-Abwehr

Sicherheitsanalysen identifizierten zwischen dem 22.04.2026 und dem 15.07.2026 insgesamt vier verschiedene macOS-Varianten der Schadsoftware. Das Phishing-Kit selbst wurde im Zeitraum vom 31.05.2026 bis zum 14.07.2026 in fünf verschiedenen Versionen dokumentiert. Aktuelle Beobachtungen deuten zudem darauf hin, dass sich eine noch unvollständige Variante des Phishing-Kits für Google Meet in der Entwicklung befindet. Die Exfiltration von Daten umfasst laut Berichten Browser-Zugangsdaten, Chrome-Master-Keys sowie Telegram-Sitzungen.

Gezielte Auswahl der Opfer in der Blockchain-Industrie

Die Kampagne zeichnet sich durch eine hohe Präzision bei der Auswahl der Ziele aus. Das Sicherheitsunternehmen Arctic Wolf identifizierte mehr als 80 Lookalike-Domains und über 100 Angriffsziele. Davon entfallen etwa 80 % auf Unternehmen aus der Krypto- und Blockchain-Branche. Insgesamt wurden über 100 Opfer in mehr als 20 Ländern dokumentiert.

Besonders im Fokus stehen Entscheidungsträger: Rund 45 % der identifizierten Opfer sind CEOs oder Gründer von Unternehmen. Geografisch liegt ein Schwerpunkt in Nordamerika, wobei 41 % der Betroffenen in den USA ansässig sind. Die Effizienz der Angriffe wird als kritisch eingestuft, da eine vollständige Kompromittierung des Systems in unter 5 Minuten erfolgen kann.

Ob im Büro oder unterwegs – die gezielte Kompromittierung von Endgeräten stellt ein massives Risiko für die gesamte Unternehmenssicherheit dar. Dieser kostenlose Ratgeber liefert Geschäftsführern und IT-Verantwortlichen wertvolle Strategien, um Sicherheitslücken proaktiv zu schließen und neue gesetzliche Anforderungen zu erfüllen. Gratis-E-Book: Cyber Security proaktiv stärken

Laufende Operationen und forensische Erkenntnisse

Experten des Sicherheitsunternehmens JUMPSEC analysierten den Quellcode des eingesetzten Phishing-Kits, nachdem JavaScript Source Maps offengelegt worden waren. Den Analysen zufolge finden die Aktivitäten der Angreifer vornehmlich während der üblichen nordkoreanischen Geschäftszeiten statt.

JUMPSEC wies darauf hin, dass die Operation derzeit noch aktiv ist. Branchenexperten raten Unternehmen im Krypto-Sektor zur erhöhten Wachsamkeit bei unangeforderten Kontaktanfragen über soziale Medien und zur Verifizierung von Meeting-Links, um den Schutz sensibler Wallet-Infrastrukturen zu gewährleisten.

de | wissenschaft | 69881918 |