BlueNoroff usa Zoom e Teams falsi per rubare wallet e credenziali

🛡️ Executive Summary

• Account Telegram compromessi inviano falsi inviti Zoom e Teams, trasformando relazioni professionali autentiche nel vettore iniziale della campagna.
• Il kit analizza wallet ed estensioni crypto, manipola gli appunti e installa malware su Windows e macOS attraverso istruzioni ClickFix.
• Verificare gli inviti fuori banda, controllare il dominio e bloccare PowerShell, VBScript e shell avviati dopo presunti aggiornamenti delle riunioni.

BlueNoroff, gruppo nordcoreano associato all’ecosistema Lazarus Group, ha trasformato i falsi meeting di Zoom e Microsoft Teams in una piattaforma operativa per selezionare vittime del settore Web3, analizzarne i wallet e installare malware su Windows e macOS. Il kit ricostruito da Jumpsec non si limita a mostrare una pagina di phishing: utilizza account Telegram già compromessi, video manipolati, accesso alla webcam, comandi ClickFix e un pannello controllato dagli operatori. L’obiettivo consiste nel colpire dirigenti, fondatori e professionisti che controllano asset digitali, sfruttando relazioni autentiche prima ancora delle vulnerabilità tecniche.

Il codice sorgente esposto svela l’intero kit

I ricercatori hanno ottenuto visibilità sul funzionamento della piattaforma dopo aver individuato file JavaScript source map lasciati pubblicamente accessibili sui server della campagna. Questi file, normalmente rimossi dagli ambienti di produzione, permettono di ricostruire il codice originale partendo dalle versioni JavaScript compresse utilizzate dai siti. L’errore operativo ha esposto componenti, nomi delle funzioni, commenti degli sviluppatori e logica applicativa delle varianti costruite per imitare Zoom e Microsoft Teams. La ricerca tecnica pubblicata da Jumpsec descrive due frontend distinti, un impianto VBScript di 497 righe classificato come Trojan.NukeSped, domini di comando e controllo e catene di infezione complete per Windows e macOS. La variante Zoom utilizza 26 file JavaScript e una struttura relativamente semplice, mentre quella Teams è stata riscritta attraverso 44 file TypeScript e TSX, con impostazioni dei dispositivi, sfocatura dello sfondo, reazioni emoji, blocco dei dispositivi mobili e schermate finali credibili.

Entrambe condividono il modulo crittografico executeLinkFromDownURL, elemento che collega tecnicamente i due kit. I ricercatori hanno inoltre trovato riferimenti a una possibile variante Google Meet, non ancora completamente implementata nel codice analizzato. L’esposizione delle source map non dimostra soltanto una configurazione negligente: rivela una vera piattaforma modulare, aggiornata più volte tra maggio e luglio 2026 per migliorare il realismo dell’interazione e aumentare il tasso di esecuzione dei payload.

Telegram trasforma contatti reali in vettori di attacco

Il collegamento iniziale non arriva da un profilo appena creato o da un mittente sconosciuto. BlueNoroff compromette account Telegram appartenenti a persone realmente conosciute dalla vittima e utilizza conversazioni, relazioni professionali e incontri precedenti per proporre una riunione apparentemente legittima. In due casi esaminati, gli account appartenevano a contatti del settore già incontrati personalmente da dirigenti di aziende importanti.

Questa dinamica rende inefficaci molti controlli tradizionali sul mittente: il nome, la cronologia della chat, il numero di telefono e il rapporto professionale sono autentici, ma l’account è controllato dall’attaccante. La catena assume inoltre una struttura autoalimentata. Ogni dispositivo infetto sul quale risulta aperto Telegram Web o installato Telegram Desktop può offrire agli operatori una nuova sessione da sottrarre e riutilizzare contro altri contatti. Due delle tre compromissioni analizzate da Jumpsec hanno generato ulteriori tentativi attraverso gli account delle vittime. Il modello coincide con la logica già osservata nelle campagne nordcoreane basate su relazioni professionali, falsi colloqui e identità costruite per avvicinare sviluppatori. La precedente operazione ClickFake Interview attribuita a Lazarus utilizzava già finte interazioni lavorative per convincere personale del settore crypto a eseguire comandi malevoli. La nuova piattaforma sposta però l’inganno su un livello superiore: non simula soltanto il contatto, ma eredita la fiducia accumulata da una persona reale e la usa per introdurre la vittima in un ambiente audiovisivo interamente controllato.

Il falso meeting analizza webcam e wallet crypto

La pagina iniziale riproduce un invito Zoom o Teams, ma il dominio effettivo utilizza sottodomini ingannevoli e registrazioni estranee ai servizi ufficiali. Dopo aver inserito il nome, la vittima concede alla pagina l’accesso alla webcam, comportamento plausibile prima di una videoconferenza. Il flusso video viene però inviato silenziosamente al pannello degli operatori attraverso WebRTC e la piattaforma mediasoup. La persona visualizza quindi una sala d’attesa vuota, mentre l’attaccante decide quando entrare, quali messaggi mostrare e quando attivare il presunto aggiornamento del software. Nello stesso momento il browser esegue una ricognizione dei wallet. Il kit utilizza EIP-6963, controlla window.ethereum e cerca interfacce legate anche a ecosistemi non EVM come Solana.

La presenza di MetaMask e di altre estensioni viene trasmessa agli operatori senza alcuna indicazione visibile. BlueNoroff può così valutare la potenziale redditività del bersaglio prima di consegnare il malware, concentrando risorse sulle persone che dispongono di strumenti, autorizzazioni o asset finanziari rilevanti. Questa capacità conferma il passaggio da campagne indiscriminate a una selezione economica in tempo reale. La ricognizione preventiva si inserisce nella stessa strategia descritta nell’analisi delle minacce strutturali che espongono identità e attività dei wallet Web3: estensioni, provider iniettati nel browser e segnali applicativi possono rivelare quali utenti possiedono strumenti crypto ancora prima che venga sottratta una credenziale. Il bersaglio non viene quindi scelto soltanto in base al ruolo aziendale, ma attraverso una combinazione di reputazione professionale, relazioni Telegram e impronta finanziaria del browser.

ClickFix installa il malware su Windows e macOS

Quando l’operatore entra nella falsa riunione, la vittima vede un video preregistrato nel quale un volto generato o modificato dall’intelligenza artificiale viene sovrapposto ai movimenti corporei acquisiti durante precedenti chiamate. Dopo pochi secondi compaiono messaggi relativi a problemi audio e a un presunto Zoom SDK non aggiornato. La piattaforma mostra quindi una procedura ClickFix che invita a copiare ed eseguire un comando. Il testo visibile appare innocuo, ma il pulsante di copia e persino la selezione manuale sostituiscono gli appunti con il payload reale.

Su Windows viene incollato un loader PowerShell di meno di 600 byte, incaricato di scaricare un file VBScript nella directory temporanea, eseguirlo due volte con parametri differenti e aggiungere un’esclusione a Microsoft Defender per l’intera cartella utente. Le due istanze generano identificatori separati e gestiscono funzioni differenti di beaconing e comando. L’impianto raccoglie sistema operativo, CPU, fuso orario, interfacce di rete, processi ed estensioni installate in Chrome, Edge, Brave, Opera, Vivaldi e Firefox. Il server può successivamente inviare codice da eseguire in memoria oppure scaricare ulteriori file PE destinati al furto di credenziali, wallet e input da tastiera. L’identificazione di NukeSped, backdoor storicamente associata a Lazarus, rafforza l’attribuzione tecnica alla Corea del Nord. La catena macOS utilizza invece uno script shell autoeliminante, una falsa applicazione Zoom o Teams e binari Mach-O ARM64. Una delle varianti estrae dal Portachiavi di macOS la chiave principale di Chrome attraverso il comando security find-generic-password, codifica il valore in Base64 e lo invia a un bot Telegram. Il metodo segue l’evoluzione già osservata nell’operazione UNC1069 contro utenti crypto tramite Zoom, ClickFix e malware macOS, ma il codice recuperato mostra ora come lure, profilazione e post-exploitation siano state integrate in un unico sistema.

I video sintetici aumentano la credibilità dell’inganno

La componente audiovisiva non costituisce un elemento decorativo. Il kit cattura le webcam delle vittime e può riutilizzare movimenti reali come base per nuove identità sintetiche. I ricercatori descrivono volti generati con strumenti di intelligenza artificiale e inseriti sopra registrazioni corporee provenienti da meeting precedenti. In questo modo, ogni attacco riuscito può produrre materiale destinato a rendere più convincente quello successivo. La combinazione tra account Telegram autentico e volto plausibile riduce drasticamente il tempo disponibile per riconoscere l’anomalia. L’attaccante non deve sostenere una lunga conversazione dal vivo: mostra un video preparato, simula un problema al microfono e spinge quasi immediatamente il falso aggiornamento. La sequenza è temporizzata. Dopo l’ingresso dell’operatore, i messaggi compaiono a distanza di pochi secondi, seguiti da una notifica sull’SDK e dalla finestra ClickFix. Questa pressione impedisce alla vittima di analizzare con calma il dominio o verificare l’identità dell’interlocutore. BlueNoroff aveva già sperimentato la combinazione tra video manipolati e videoconferenze nelle campagne contro il settore crypto basate su deepfake e falsi meeting Zoom. La disponibilità del codice sorgente mostra però che tali elementi non sono più improvvisati dagli operatori durante ogni attacco: fanno parte delle funzioni native del kit, insieme alla gestione della chat, al controllo della webcam, alle reazioni visive e alla consegna selettiva del malware.

Una piattaforma finanziaria più che una pagina di phishing

L’infrastruttura individuata comprende oltre 60 hostname distribuiti su dieci indirizzi IP, con almeno 21 domini classificati ad alta confidenza. I sistemi utilizzavano server Apache, PHP e XAMPP ospitati prevalentemente nell’ASN di RouterHosting LLC, collegato da Jumpsec a Cloudzy. Parte dell’infrastruttura gestiva i domini contraffatti, mentre altri nodi distribuivano payload Windows e macOS, offrivano servizi XMPP oppure funzionavano come relay TURN per mantenere attive le comunicazioni WebRTC anche dietro firewall restrittivi. Alcuni token dei bot Telegram utilizzati per l’esfiltrazione erano codificati direttamente nei binari e hanno permesso ai ricercatori di osservare un canale denominato “Aurora”, sul quale arrivavano dati sottratti alle vittime. Le varianti macOS pubblicate tra aprile e luglio mostrano un’evoluzione rapida: dal semplice dropper si passa a un eseguibile che integra lo stealer, seguito da versioni raddoppiate nelle dimensioni, offuscate attraverso LLVM e collegate a nuovi bot Telegram. La difesa non può quindi limitarsi al blocco di un dominio o di un hash.

Le organizzazioni Web3 devono verificare fuori banda ogni invito ricevuto attraverso Telegram, anche quando proviene da un contatto conosciuto; impedire agli utenti di avviare PowerShell, VBScript o shell dopo richieste provenienti dal browser; controllare esclusioni anomale aggiunte a Defender; monitorare l’accesso al Portachiavi di macOS e rilevare connessioni verso bot Telegram da processi non autorizzati. BlueNoroff colpisce il punto nel quale relazioni professionali, comunicazioni personali e controllo degli asset digitali convergono. La compromissione dell’infrastruttura finanziaria inizia così dalla persona che possiede le autorizzazioni necessarie per usarla.