BlueNoroff、偽のZoomやTeams会議で仮想通貨ユーザーを標的

ラザラスグループの広範なエコシステムに属するサブグループBlueNoroffが、偽のZoomやMicrosoft Teams会議を使って仮想通貨ユーザーを標的にしている。JUMPSECは、この作戦がマルウェア展開に踏み切るかを判断する前に、被害者のウォレットソフトを密かにプロファイリングしていると詳述した。研究者らによると、攻撃者は実在する仮想通貨業界関係者のTelegramアカウントを乗っ取り、偽のCalendlyやビデオ通話ページを通じて信頼関係のある連絡先に会議招待を送り、MetaMaskなどの仮想通貨ウォレット拡張機能の有無を標的に気付かれず確認している。 その後、攻撃は偽のビデオ通話の流れの中で段階的にエスカレートする。被害者がウェブカメラへのアクセスを許可すると、攻撃者は待機画面を表示しながらライブ映像を制御パネルに配信できるほか、過去の被害者から取得した本物の身体の動きにAI生成の顔を重ねて表示する。その上で、被害者にはマイクやカメラが作動していないと告げ、偽のZoom SDKアップデートのインストールを促し、WindowsまたはmacOS向けに調整されたマルウェア感染へと誘導する。 JUMPSECによると、Windows向けの攻撃チェーンでは、Microsoft Defenderの保護機能を無効化するVBScriptペイロードをダウンロードし、Telegramのセッションデータを探索するとともに、ウォレットソフトに関するブラウザー拡張機能を洗い出す。macOSでは、被害者に偽のZoomまたはTeamsインストーラーが配布され、システム情報、ブラウザー認証情報、iCloudキーチェーンに保存されたGoogle Chromeの暗号化キーが窃取される。流出データは追加のマルウェア展開前にTelegramボット経由で送信される。研究者らは2026年5月31日から7月14日にかけて公開された5種類のフィッシングキットを特定し、Teams版はZoom版より高度だと指摘したほか、Telegramボットの1つを「John」(@alchemy_john_mac)のハンドルを使う運用者に結び付けた。ZachXBTは7月26日、同様の北朝鮮系ソーシャルエンジニアリング手法が何年も使われてきたとした上で、ソフトウェアをインストールする前に会議依頼を検証するよう利用者に促した。