Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
BlueNoroff, grupa powiązana z północnokoreańskim ekosystemem Lazarus, została powiązana z nową kampanią phishingową wymierzoną w pracowników firm z sektora kryptowalut, fintech i finansów cyfrowych. Atak nie polega wyłącznie na podszywaniu się pod spotkania Zoom lub Microsoft Teams, lecz stanowi wieloetapowy mechanizm selekcji ofiar, rozpoznania ich środowiska i dostarczania złośliwego oprogramowania dopiero wtedy, gdy cel zostanie uznany za wartościowy.
To istotna zmiana jakościowa: fałszywe spotkanie online pełni tu rolę punktu wejścia do bardziej złożonej operacji, w której socjotechnika łączy się z profilowaniem przeglądarki, analizą rozszerzeń portfeli kryptowalutowych i ręcznie sterowanym łańcuchem infekcji.
W skrócie
- Atak rozpoczyna się od wiadomości wysłanej z przejętego konta Telegram należącego do zaufanego kontaktu ofiary.
- Ofiara trafia na fałszywą stronę imitującą Zoom lub Teams i nadaje przeglądarce uprawnienia do kamery.
- Napastnicy przechwytują obraz z kamery oraz profilują środowisko ofiary, w tym obecność rozszerzeń portfeli kryptowalutowych.
- Dopiero po ocenie wartości celu uruchamiany jest kolejny etap socjotechniki prowadzący do infekcji Windows lub macOS.
- Kampania wykorzystuje elementy ClickFix, przejęte relacje zaufania oraz komponent operator-in-the-loop, czyli aktywne działania człowieka po stronie napastnika.
Kontekst / historia
BlueNoroff od lat koncentruje się na operacjach ukierunkowanych na kradzież środków finansowych, szczególnie w środowisku aktywów cyfrowych. W poprzednich kampaniach grupa wykorzystywała między innymi fałszywe rozmowy biznesowe, inwestorskie i rekrutacyjne, nadużywając zaufania pomiędzy realnymi uczestnikami rynku.
Obecnie obserwowana kampania wpisuje się w ten sam trend, ale wyróżnia się wyższym poziomem dopracowania operacyjnego. Badacze wskazują, że zestaw phishingowy był rozwijany aktywnie co najmniej od końca maja do połowy lipca 2026 roku. Zidentyfikowano wiele wariantów stron przynęt, w tym osobne wersje podszywające się pod Zoom i Microsoft Teams, a ślady w kodzie sugerują również możliwe przygotowanie wariantu dla Google Meet.
Analiza techniczna
Technicznie kampania łączy phishing, przejęcie zaufanych kanałów komunikacji, rozpoznanie stacji końcowej i selektywne dostarczenie malware. Atak rozpoczyna się zwykle od przejęcia legalnego konta Telegram osoby działającej w branży kryptowalutowej. Z takiego konta wysyłane są wiadomości do kolejnych celów, co znacząco zwiększa wiarygodność przynęty.
Po kliknięciu ofiara trafia na domenę podszywającą się pod platformę konferencyjną. Interfejs przypomina prawdziwe spotkanie i prosi o zgodę na użycie kamery. Po jej udzieleniu strumień wideo może zostać przesłany do panelu operatora z wykorzystaniem WebRTC. Następnie wyświetlany jest ekran oczekiwania lub komunikaty sugerujące problemy techniczne, co przygotowuje grunt pod dalsze instrukcje socjotechniczne.
Kolejny etap bazuje na technice ClickFix. Użytkownik jest informowany o problemach z mikrofonem, klientem spotkań lub rzekomej konieczności aktualizacji komponentu. W praktyce celem jest nakłonienie ofiary do ręcznego uruchomienia poleceń albo pobrania pozornie pomocniczego pliku. Równolegle zestaw phishingowy wykonuje fingerprinting przeglądarki i enumerację rozszerzeń, aby ustalić, czy na urządzeniu znajdują się popularne portfele kryptowalutowe.
W wariancie dla Windows zaobserwowano łańcuch, w którym komenda uruchamia loader PowerShell, ten pobiera i wykonuje skrypt VBScript, a następnie modyfikuje ustawienia ochrony systemowej, w tym dodaje wykluczenia dla określonych ścieżek. Złośliwe komponenty sprawdzają także obecność artefaktów związanych z Telegram Web i Telegram Desktop w profilach popularnych przeglądarek, co może wskazywać na próbę przejęcia sesji i dalszego wykorzystania konta ofiary do rozsyłania kolejnych przynęt.
W wariancie dla macOS wykorzystywany jest skrypt powłoki pobierający fałszywy instalator Zoom lub Teams. Po jego uruchomieniu wdrażany jest stealer zbierający metadane systemowe, klucze i inne wrażliwe informacje, a następnie przesyłający je do infrastruktury kontrolowanej przez napastników. Część mechanizmu eksfiltracji miała wykorzystywać Telegram jako kanał komunikacji i przekazywania danych.
Na uwagę zasługuje również warstwa wizualna oszustwa. Ofiara może zobaczyć spreparowany materiał przypominający realnego rozmówcę. Według analizy wykorzystano obrazy twarzy generowane przy użyciu narzędzi AI, nakładane na autentyczne nagrania ruchu ciała. Taki zabieg zwiększa wiarygodność ataku, szczególnie podczas krótkich spotkań biznesowych, w których uczestnicy nie spodziewają się zaawansowanej manipulacji.
Konsekwencje / ryzyko
Ryzyko związane z tą kampanią jest wysokie, ponieważ atak ma charakter selektywny. Napastnicy nie próbują infekować każdego użytkownika w taki sam sposób, lecz najpierw oceniają potencjalną wartość celu na podstawie dostępu do portfeli kryptowalutowych, sesji komunikacyjnych i prawdopodobnego wpływu na transfer środków.
Dodatkowym zagrożeniem jest możliwość przejęcia kont Telegram i rozbudowy ataku o kolejne etapy lateralne w warstwie relacji biznesowych. Jedna skuteczna kompromitacja może umożliwić dotarcie do partnerów, inwestorów, administratorów funduszy lub osób zatwierdzających transakcje. W praktyce oznacza to ryzyko utraty aktywów, naruszenia poufności komunikacji, wycieku danych wewnętrznych i długotrwałego osłabienia zaufania pomiędzy organizacjami.
Znaczące jest również to, że kampania obejmuje zarówno środowiska Windows, jak i macOS. Pokazuje to, że użytkownicy systemów Apple pozostają pełnoprawnym celem zaawansowanych grup sponsorowanych przez państwo, zwłaszcza gdy pracują przy operacjach finansowych i zarządzaniu aktywami cyfrowymi.
Rekomendacje
Organizacje działające w sektorze kryptowalut, fintech i inwestycji cyfrowych powinny traktować każde zaproszenie na wideokonferencję jako potencjalny element łańcucha ataku. Kluczowe jest wdrożenie procedur weryfikacji zaproszeń poza kanałem, którym zostały przesłane, szczególnie gdy rozmowa dotyczy transferów środków, inwestycji lub dostępu do wrażliwych danych.
- Weryfikować tożsamość rozmówcy alternatywnym kanałem przed dołączeniem do spotkania.
- Blokować lub ograniczać możliwość ręcznego uruchamiania poleceń przekazywanych w komunikatach ekranowych.
- Monitorować użycie PowerShell, VBScript i interpreterów shell w kontekście nietypowych spotkań online.
- Wykrywać próby dodawania wykluczeń do Microsoft Defender oraz dostęp do artefaktów sesji Telegram.
- Objąć przeglądarki kontrolą rozszerzeń, zwłaszcza tych związanych z portfelami kryptowalutowymi.
- Rozdzielić stacje robocze używane do komunikacji od systemów wykorzystywanych do operacji finansowych i zarządzania portfelami.
- Regularnie przeglądać aktywne sesje, tokeny logowania i uprawnienia do komunikatorów oraz usług współpracy.
Zespoły SOC i threat hunting powinny zaktualizować playbooki o scenariusze obejmujące fałszywe spotkania Zoom i Teams, przejęcia kont Telegram oraz działania operatora prowadzone interaktywnie podczas sesji. W organizacjach wysokiego ryzyka warto też prowadzić szkolenia dla kadry kierowniczej i zespołów inwestycyjnych z rozpoznawania socjotechniki opartej na relacjach zaufania.
Podsumowanie
Kampania przypisywana BlueNoroff pokazuje, że nowoczesne operacje wymierzone w sektor kryptowalut łączą dziś phishing, deepfake, rozpoznanie środowiska ofiary i klasyczne malware w jeden spójny model działania. Fałszywe spotkanie online staje się jedynie pierwszą warstwą ataku, po której następuje selekcja celu, profilowanie zasobów i dopiero potem właściwa próba kompromitacji.
Dla obrońców najważniejszy wniosek jest jasny: ochrona aktywów cyfrowych nie może ograniczać się do samych portfeli i infrastruktury. Równie krytyczne są bezpieczeństwo tożsamości, komunikatorów, relacji biznesowych i procedur potwierdzania tożsamości podczas zdalnych spotkań.
Źródła
- https://thehackernews.com/2026/07/bluenoroff-zoom-phishing-kit-profiles.html
- https://www.jumpsec.com/guides/inside-a-dprk-bluenoroff-clickfix-kit/
- https://thehackernews.com/2025/06/bluenoroff-deepfake-zoom-scam-hits.html