BlueNoroff orchestriert Angriffe mit gefälschten Videokonferenzen: KI-Deepfakes und Wallet-Diebstahl im Visier

Einführung

Am 24. Juli 2026 deckten Forscher von JUMPSEC eine gefährliche Kampagne auf, die von der nordkoreanischen Gruppe BlueNoroff orchestriert wird, die für ihre gezielten Angriffe auf den Kryptowährungssektor bekannt ist. Die Bedrohung nutzt gefälschte Einladungen zu Zoom- oder Microsoft Teams-Besprechungen, die über gestohlene Telegram-Sitzungen und Calendly-Links verbreitet werden, um hochkarätige Opfer zu täuschen. Die Operation kombiniert ausgefeiltes Social Engineering, KI-generierte Deepfake-Videos und einen Selbstverbreitungsmechanismus: Sobald ein Telegram-Konto kompromittiert ist, sendet der Angreifer den Köder an vertraute Kontakte, wodurch die Reichweite erhöht wird. Das Endziel besteht darin, Kryptowährungs-Wallets (wie MetaMask) zu identifizieren und die Gelder mit einer über ClickFix-Befehle geladenen Malware zu stehlen.

Technische Analyse

Der Angriff beginnt mit einer Telegram-Nachricht von einem bereits kompromittierten Kontakt. Diese enthält einen Link zu einer Calendly-Seite, auf der ein Termin für einen Videoanruf vereinbart wird. Der Link führt zu einem gefälschten Warteraum, der die Benutzeroberfläche von Zoom oder Microsoft Teams nachahmt. Dort wird das Opfer aufgefordert, den Zugriff auf die Webcam zu gewähren: Der Videostream wird über das mediasoup WebRTC-Framework direkt an die Angreifer umgeleitet, während ein Skript die im Browser installierten Wallets (MetaMask und andere) über Extension-Fingerprinting erfasst.

Während des vorgetäuschten Meetings sieht das Opfer ein vorab aufgezeichnetes Video mit einem von OpenAI ChatGPT generierten Gesicht, das auf den echten Bewegungen früherer Opfer animiert wurde. Nach wenigen Augenblicken erscheint eine Fehlermeldung, die auf ein „nicht funktionierendes Mikrofon“ hinweist, und fordert das Opfer auf, eine Reihe von ClickFix-Befehlen auszuführen – typischerweise ein PowerShell-Skript unter Windows oder ein Shell-Skript unter macOS – um das „Problem zu beheben“.

Windows-Kette: PowerShell lädt ein VBScript herunter, das Microsoft Defender deaktiviert, Ausschlusspfade hinzufügt und die Telegram-Sitzungen aus Chrome, Edge, Brave, Firefox, Opera und Vivaldi stiehlt. Anschließend werden die IDs der Wallet-Erweiterungen an den Command-and-Control-Server gesendet, sodass die Angreifer gezielt nur die Benutzer mit hochwertigen Wallets auswählen können.

macOS-Kette: Ein Shell-Skript lädt ein gefälschtes Installationsprogramm herunter; nach der Ausführung exfiltriert ein Info‑Stealer über Telegram (Kanal „Aurora“) die Schlüssel des iCloud-Schlüsselbunds, Systemmetadaten und in Chrome gespeicherte sensible Daten.

Die Infrastruktur missbraucht ähnliche Domains wie die Originale (Typosquatting von zoom.us, teams.microsoft.com) und stützt sich auf legitime Dienste wie Telegram und Calendly, um die Filterung zu erschweren. Forscher von Sekoia haben diese Aktivität dem Cluster „ClickFake Interview“ zugeordnet, während die operative Signatur des Akteurs „John“ (@alchemy_john_mac) im Mai 2026 in Diskussionsgruppen zu Smart Contracts beobachtet wurde.

Auswirkungen

Die Schwere der Bedrohung ist aus mehreren Gründen hoch:

• Selbstverbreitung: Die gestohlenen Telegram-Sitzungen werden genutzt, um weitere Köder an die Kontakte des Opfers zu senden, wodurch ein schwer zu unterbrechender Kompromittierungszyklus entsteht.
• Gezielter Diebstahl: Die Vorauswahl anhand der installierten Wallets ermöglicht es, nur Ziele mit digitalen Vermögenswerten anzugreifen und so den finanziellen Gewinn zu maximieren.
• Multidimensionale Exfiltration: Neben den Wallets werden auch Anmeldedaten, Metadaten, Browserverlauf und unter macOS die Schlüssel des iCloud-Schlüsselbunds gestohlen.
• Schwächung der Verteidigung: Die Deaktivierung von Microsoft Defender und das Hinzufügen von Ausschlusspfaden gewährleisten Persistenz und erleichtern das Nachladen weiterer Payloads.

Gegenmaßnahmen

Derzeit gibt es keine offiziellen Gegenmaßnahmen, aber aus der Vorgehensweise lassen sich einige wichtige Praktiken ableiten:

• Zwei-Kanal-Verifizierung: Wenn Sie eine Einladung zu einer Videokonferenz von einem bekannten Kontakt erhalten, kontaktieren Sie ihn über einen anderen Kanal (Telefon, E-Mail), bevor Sie auf den Link klicken.
• Berechtigungen einschränken: Gewähren Sie niemals einer Website Zugriff auf Webcam oder Mikrofon, wenn Sie dieser nicht absolut vertrauen, insbesondere wenn Sie über einen Chat-Link dorthin gelangt sind.
• Keine „Copy & Paste“-Befehle: Seien Sie misstrauisch bei Anweisungen, die Sie auffordern, PowerShell-Code oder Terminalbefehle auszuführen, um technische Probleme während eines Anrufs zu beheben.
• Telegram schützen: Aktivieren Sie die Zwei-Faktor-Authentifizierung und isolieren Sie Wallet-Erweiterungen nach Möglichkeit in einem separaten Browserprofil, ohne Messenger-Sitzungen zu speichern.
• Endpunkt-Überwachung: Überwachen Sie verdächtige VBScript-/Shell-Ausführungen, Änderungen an den Windows Defender-Einstellungen und Verbindungen zu kürzlich registrierten oder typoähnlichen Domains (Typosquatting).

FAQ

1. Wie erkenne ich eine bösartige Videokonferenz-Einladung?
Zu den Anzeichen gehören plötzlich eingehende Links von Telegram-Kontakten, insbesondere in Verbindung mit Nachrichten wie „Wir müssen über eine Investition sprechen“. Überprüfen Sie immer die URL: Domains mit kleinen Abweichungen (z. B. „zoomus“ statt „zoom.us“) sind ein Warnsignal. Im Zweifelsfall kontaktieren Sie den Absender über einen anderen Kanal.

2. Warum fordern die Angreifer den Zugriff auf die Webcam?
Aus zwei Gründen: Das Video des Opfers wird in Echtzeit an die Angreifer übertragen, die es archivieren und später zur Erstellung von Deepfakes für andere Opfer wiederverwenden. Zudem ermöglicht die Berechtigung der Website, die Skripte auszuführen, die die Wallets direkt im Browser profilieren.

3. Was passiert, wenn ich die mir vorgeschlagenen ClickFix-Befehle ausführe?
Es wird eine Malware heruntergeladen und gestartet, die Microsoft Defender deaktiviert (unter Windows) oder einen Info‑Stealer ausführt (unter macOS). Ab diesem Zeitpunkt kann der Angreifer Telegram-Sitzungen, Wallet-Schlüssel und persönliche Daten stehlen und das Konto nutzen, um den Angriff auf Ihre Kontakte auszuweiten. Wenn Sie diese Befehle ausgeführt haben, trennen Sie Ihren Computer sofort vom Netzwerk, ändern Sie die Passwörter von einem sauberen Gerät aus und wenden Sie sich an einen Sicherheitsexperten.