BlueNoroff orchestra attacchi con false videoconferenze: deepfake IA e furto di wallet nel mirino

Introduzione

Il 24 luglio 2026 i ricercatori di JUMPSEC hanno portato alla luce una campagna pericolosa orchestrata dal gruppo nordcoreano BlueNoroff, noto per i suoi attacchi mirati al settore delle criptovalute. La minaccia sfrutta inviti contraffatti a riunioni Zoom o Microsoft Teams, distribuiti tramite sessioni Telegram rubate e link a Calendly, per ingannare vittime di alto profilo. L’operazione combina ingegneria sociale avanzata, video deepfake generati con intelligenza artificiale e un meccanismo di auto‑propagazione: una volta compromesso un account Telegram, l’attaccante invia l’esca ai contatti fidati, ampliando il raggio d’azione. L’obiettivo finale è individuare wallet di criptovalute (come MetaMask) e sottrarre i fondi con un malware caricato tramite comandi ClickFix.

Analisi tecnica

L’attacco inizia con un messaggio Telegram proveniente da un contatto già violato, contenente un link a una pagina Calendly che fissa un appuntamento per una videochiamata. Il link conduce a un falso portale di attesa che imita l’interfaccia di Zoom o Microsoft Teams. Qui la vittima viene invitata a concedere l’accesso alla webcam: il flusso video viene dirottato verso gli operatori attraverso il framework mediasoup WebRTC, mentre uno script cataloga i wallet installati nel browser (MetaMask e altri) tramite fingerprinting delle estensioni.

Durante la finta riunione, la vittima vede un filmato preregistrato con un volto generato da OpenAI ChatGPT, animato sui movimenti reali carpiti a precedenti obiettivi. Dopo pochi istanti compare un messaggio di errore che segnala un “microfono non funzionante”, spingendo la vittima a eseguire una serie di comandi ClickFix – tipicamente uno script PowerShell su Windows o uno script shell su macOS – per “risolvere il problema”.

Catena Windows: PowerShell scarica un VBScript che disabilita Microsoft Defender, aggiunge percorsi di esclusione e ruba le sessioni Telegram da Chrome, Edge, Brave, Firefox, Opera e Vivaldi. Invia quindi al server di comando gli ID delle estensioni wallet, consentendo agli attaccanti di scegliere solo gli utenti con portafogli di alto valore.

Catena macOS: Uno script shell scarica un falso programma di installazione; una volta eseguito, un info‑stealer esfiltra via Telegram (canale “Aurora”) le chiavi del portachiavi iCloud, metadati di sistema e dati sensibili memorizzati in Chrome.

L’infrastruttura abusa di domini simili a quelli originali (typosquatting di zoom.us, teams.microsoft.com) e si appoggia a servizi legittimi come Telegram e Calendly per rendere più difficile il filtraggio. I ricercatori di Sekoia hanno collegato questa attività al cluster “ClickFake Interview”, mentre la firma operativa dell’attore “John” (@alchemy_john_mac) è stata notata a maggio 2026 in gruppi di discussione su smart contract.

Impatto

La gravità è elevata per diversi motivi:

• Auto‑propagazione: le sessioni Telegram rubate vengono utilizzate per inviare ulteriori esche ai contatti della vittima, creando un ciclo di compromissione difficile da arrestare.
• Furto mirato: la pre‑selezione basata sui wallet installati permette di colpire solo i bersagli con asset digitali, massimizzando il ritorno economico.
• Esfiltrazione multidimensionale: oltre ai wallet, vengono sottratti credenziali, metadati, storico del browser e, su macOS, le chiavi di iCloud Keychain.
• Indebolimento delle difese: la disabilitazione di Microsoft Defender e l’aggiunta di esclusioni garantiscono persistenza e facilitano il caricamento di ulteriori payload.

Mitigazione

Al momento non esistono contromisure ufficiali, ma dal modus operandi si possono dedurre alcune pratiche essenziali:

• Verifica a doppio canale: se ricevi un invito a una videoconferenza da un contatto noto, contattalo con un altro mezzo (telefono, email) prima di cliccare sul link.
• Permessi limitati: non concedere mai l’accesso a webcam o microfono a siti di cui non si ha assoluta fiducia, specialmente se raggiunti tramite link in chat.
• Nessun comando “copia e incolla”: diffida di istruzioni che invitano a eseguire codice PowerShell o comandi da terminale per risolvere problemi tecnici durante una chiamata.
• Proteggi Telegram: attiva l’autenticazione a due fattori e, se possibile, isola le estensioni wallet in un profilo browser separato, senza salvare sessioni di messaggistica.
• Monitoraggio degli endpoint: tieni sotto controllo esecuzioni di VBScript/shell sospetti, modifiche alle impostazioni di Windows Defender e connessioni verso domini appena registrati o con errori di battitura (typosquatting).

FAQ

1. Come posso riconoscere un invito a una videoconferenza malevolo?
I segnali includono link ricevuti all’improvviso da contatti Telegram, soprattutto se seguiti da messaggi come “dobbiamo parlare di un investimento”. Controlla sempre l’URL: domini con piccole variazioni (es. “zoomus” invece di “zoom.us”) sono un campanello d’allarme. In caso di dubbio, contatta il mittente con un canale alternativo.

2. Perché gli attaccanti chiedono l’accesso alla webcam?
Per due ragioni: il video della vittima viene trasmesso in tempo reale agli operatori, che lo archiviano e lo riutilizzano per creare deepfake poi mostrati ad altre vittime. Inoltre, il permesso consente al sito di attivare gli script che profilano i wallet direttamente dal browser.

3. Cosa succede se eseguo i comandi ClickFix che mi vengono proposti?
Viene scaricato e lanciato un malware che disabilita Microsoft Defender (su Windows) o esegue un info‑stealer (su macOS). Da quel momento l’attaccante può rubare sessioni Telegram, chiavi di wallet e dati personali, e usare l’account per propagare l’attacco ai tuoi contatti. Se hai eseguito questi comandi, scollega immediatamente il computer dalla rete, cambia le password da un dispositivo pulito e contatta un esperto di sicurezza.