BlueNoroff: ein Zoom-Kit für Krypto, mit Echtzeit-Video-Deepfake-KI

Die nordkoreanische Gruppe BlueNoroff (Lazarus) setzt seit Mai 2026 ein Phishing-Kit für Zoom/Teams ein, das legitime Telegram-Konten kompromittiert, die Ziele zu einem gefälschten Meeting einlädt, ihre Webcam aufzeichnet, ein Deepfake-KI (ChatGPT) als Overlay platziert, die installierten Krypto-Wallets profilt und schließlich über ClickFix Malware schiebt. Fünf Versionen des Kits wurden von JUMPSEC dokumentiert.

Die Fakten

Veröffentlichung JUMPSEC am 24. Juli 2026: Die Gruppe BlueNoroff - eine Untergruppe von Lazarus, die Nordkorea zugeschrieben wird und sich seit langem auf den Diebstahl digitaler Vermögenswerte spezialisiert hat - betreibt seit mindestens Mai 2026 ein sehr gezieltes Zoom/Teams-Phishing-Kit, mit mindestens fünf dokumentierten Versionen zwischen dem 31. Mai und dem 14. Juli 2026.

Ziele: Hochkarätige Persönlichkeiten der Kryptoindustrie - Venture Capitalists, Gründer, Führungskräfte großer Web3-Unternehmen. Das Kit profiliert die Wallets des Opfers bevor es ihm den Malware schickt, was eine selektive Zielsetzung der « High-Value Victims » ermöglicht, die ihre eigenen Gelder tragen oder die Transfers unterzeichnen.

Analyse - die Angriffskette

Sie verdient es, Schritt für Schritt detailliert zu werden, weil sie mehrere moderne Primitiven kombiniert (Kompromittierung des E-Mail-Kontos, Deepfake-Video, ClickFix), die man bisher separat gesehen hat.

1. Initialer Vektor: kompromittierte Telegram-Konten. BlueNoroff sendet einen Calendly-Link vom Konto eines echten Kontakts der Kryptoindustrie, den das Opfer kennt. Vertrauen wird geerbt, keine Warnung.
2. Fallen-Termin. Der Link führt zu einer typosquatteten Domain, die Zoom oder Teams nachahmt - dokumentiertes Beispiel: us.zoom.06webin.us.
3. Webcam-Aufnahme. Die Website fordert den Zugriff auf die Kamera. Das Opfer stimmt zu. Der Videostream wird stillschweigend über mediasoup WebRTC an das Operator-Panel exfiltriert.
4. Deepfake-Video als Overlay. Der Operator zeigt dem Ziel eine falsche, von KI generierte Kopfbedeckung - die Bilder werden mit ChatGPT (OpenAI) produziert - auf die Körperbewegungen eines früheren authentifizierten Opfers projiziert. Der Mensch vor Ort sieht, was er für seinen legitimen Gesprächspartner in der Videokonferenz hält.
5. Wallet-Profiling. Das Kit führt einen Browser-Fingerprint aus, der die installierten Krypto-Wallet-Erweiterungen auflistet (MetaMask, Phantom, Coinbase Wallet usw.). Dieser Schritt bestimmt den weiteren Verlauf: Ohne Wallet mit Wert endet die Kampagne hier.
6. ClickFix-Payload. Der Operator löst ein falsches Update-Popup aus - die ClickFix-Technik, die den Benutzer dazu bringt, einen Befehl in sein Terminal oder sein Windows-Run zu kopieren und einzufügen - und der Malware wird ausgeführt.

Beobachtete Payloads

Windows:

• PowerShell-Loader, der Microsoft Defender deaktiviert.
• VBScript-Implantate, die Telegram-Sitzungs-Cookies und Wallet-Erweiterungs-IDs stehlen, um dem Operator zu ermöglichen, die Telegram-Sitzung erneut zu spielen (und somit die Kontakte des Opfers zu kompromittieren, wodurch die Schleife des Kits geschlossen wird).

macOS:

• Falsche Teams-/Zoom-Installer.
• Exfiltration der Chrome-Master-Keys (notwendig zum Entschlüsseln der Chrome-Anmeldedaten, einschließlich der Exchange-Logins) über den Telegram-Kanal « Aurora », der vom Operator kontrolliert wird.

IOCs zu überwachen

• Vom Bot Telegram Operator identifiziert von JUMPSEC: @alchemy_john_mac (Benutzername « John »).
• Typosquattete Zoom/Teams-Domains in .us (beobachtetes Muster: us.zoom.<word>.us).
• Ausgehender WebRTC-Traffic (mediasoup) zu unbekannten IPs während nicht standardmäßiger Videokonferenzen.
• Neue Telegram-Sitzungen von einer IP, die geografisch nicht mit dem Benutzer übereinstimmt.

Wer ist betroffen

• Jeder, der ein wertvolles Krypto-Wallet betreibt (VC, Gründer, Exchange-Operatoren, Verwahrer).
• Indirekt: Ihre beruflichen Umgebungen, deren kompromittiertes Telegram-Konto als upstream-Vektor dienen wird.

Es handelt sich nicht um eine Massenbedrohung für die Allgemeinheit: Es ist ein gezieltes Spear-Phishing mit hohem Wert, mit sehr hohem ROI für den Operator.

Was jetzt zu tun ist

1. Bestätigen Sie niemals ein Krypto-Meeting nur auf der Grundlage des Telegram-Calendly-Links - selbst wenn er von einem bekannten Kontakt gesendet wird. Überprüfen Sie dies über einen Out-of-Band-Kanal (Telefon, verifiziertes Signal).
2. URL der Videokonferenz: Überprüfen Sie den Domain-Namen genau. Ein legitimer Zoom ist zoom.us oder <Subdomain>.zoom.us, niemals zoom.<other-tld>.
3. Trennen Sie den Arbeitsplatz, der Ihre Krypto-Wallets bedient, vom Arbeitsplatz, an dem Sie Ihre Videokonferenzen durchführen. Wallets auf dedizierter Maschine oder Hardware-Wallet.
4. Telegram-Sitzungen: Widerrufen Sie regelmäßig die aktiven Sitzungen (Einstellungen → Geräte) und aktivieren Sie den lokalen Passcode.
5. IOCs suchen: Auf Ihren EDRs suchen Sie nach VBScript-Implantaten, die Telegram-Hooks setzen, und nach jeder programmatischen Deaktivierung von Defender über PowerShell.
6. ClickFix-Awareness: Schulen Sie Ihre Teams - das Kopieren und Einfügen eines Befehls aus einem Browser in Ihr Terminal ist die Aktion, die Sie niemals ausführen sollten, auch nicht « nur um eine Installation abzuschließen ».

Was jetzt zu tun ist - das Wesentliche

Out-of-Band-Verifizierung jedes über Telegram initiierten Krypto-Meetings + dedizierter Wallet-Arbeitsplatz + Widerruf von Telegram-Sitzungen. Das Kit ist aktiv, versioniert und industrialisiert.