How North Korean Hackers Turn Deepfake Zoom Calls Into Crypto Heists
Как северокорейские хакеры превращают поддельные видеоконференции Zoom в кражи криптовалюты.
Группа, связанная с Северной Кореей, совершенствует свои методы социальной инженерии. Эта группа интегрирует инструменты на основе искусственного интеллекта в хакерские атаки, направленные на криптовалютные компании, согласно новому отчету команды Mandiant компании Google.
Эта операция отражает дальнейшую эволюцию кибердеятельности, осуществляемой государственными структурами, нацеленной на сектор цифровых активов, который в 2025 году показал заметный рост.
Реклама
Реклама
Поддельная видеоконференция Zoom запускает атаку вредоносного ПО на криптовалютную компанию.
В своем последнем отчете Mandiant подробно описала расследование проникновения, направленного на финтех-компанию в секторе криптовалют. Эта атака была приписана группе UNC1069. Это группа, мотивированная финансовой выгодой, действующая как минимум с 2018 года, имеющая связи с Северной Кореей.
«Mandiant наблюдала, как эта группа совершенствует свои тактики, методы и процедуры (TTP), инструменты и цели. По крайней мере, с 2023 года группа перешла от методов spear-phishing и таргетинга на традиционные финансовые институты (TradFi) к Web3-индустрии, такой как централизованные биржи (CEX), разработчики программного обеспечения в финансовых учреждениях, высокотехнологичные компании и сотрудники венчурных фондов», — говорится в отчете.
По словам следователей, проникновение началось с взлома аккаунта Telegram, принадлежащего руководителю компании в криптовалютной индустрии. Злоумышленники использовали взломанный профиль для связи с жертвой. Они постепенно завоевывали доверие, прежде чем отправить приглашение Calendly на видеоконференцию.
Ссылка на конференцию перенаправляла жертву на поддельный домен Zoom, размещенный на инфраструктуре, контролируемой злоумышленниками. Во время звонка жертва сообщила, что видела то, что, по-видимому, было дипфейком видео генерального директора другой криптовалютной компании.
«Хотя Mandiant не смогла восстановить доказательства для независимой проверки использования моделей искусственного интеллекта в этом конкретном случае, сообщенный обман похож на ранее публично сообщенный инцидент с аналогичными характеристиками, где также, как утверждается, использовались дипфейки», — добавлено в отчете.
Злоумышленники создали впечатление проблем со звуком во время встречи, чтобы оправдать следующий шаг. Они попросили жертву выполнить команды для устранения неполадок на своем устройстве.
Реклама
Реклама
Эти команды, разработанные как для macOS, так и для Windows, тайно инициировали цепочку заражения, что привело к развертыванию нескольких компонентов вредоносного ПО.
Компания Mandiant выявила семь различных семейств вредоносного ПО, использованных во время вторжения. Эти инструменты были разработаны для кражи учетных данных Keychain, извлечения файлов cookie и данных для входа в браузер, доступа к информации сессии Telegram и сбора других конфиденциальных файлов.
Аналитики пришли к выводу, что целью было достижение двух целей: обеспечение возможности кражи криптовалюты и сбор данных, которые могли бы быть использованы для будущих атак социальной инженерии.
В ходе расследования было обнаружено необычно большое количество инструментов, установленных на одном хосте. Это указывало на целенаправленные усилия по сбору максимально возможного объема данных от скомпрометированного пользователя.
Этот инцидент является частью более широкой тенденции, а не отдельным случаем. В декабре 2025 года BeInCrypto сообщила, что связанные с Северной Кореей группы вывели более 300 миллионов долларов, выдавая себя за доверенных представителей отрасли во время мошеннических встреч в Zoom и Microsoft Teams.
Масштабы активности в течение года были еще более впечатляющими. В общей сложности северокорейские группы, занимающиеся киберпреступностью, были ответственны за кражу цифровых активов на сумму 2,02 миллиарда долларов в 2025 году, что на 51% больше, чем в предыдущем году.
Компания Chainalysis также сообщила о выявлении мошеннических групп, связанных с поставщиками услуг искусственного интеллекта, которые демонстрируют значительно более высокую операционную эффективность, чем группы, не имеющие таких связей. По мнению компании, эта тенденция указывает на будущее, в котором искусственный интеллект станет стандартным компонентом большинства мошеннических операций.
По мере того как инструменты искусственного интеллекта становятся более доступными и совершенными, создание убедительных дипфейков становится проще, чем когда-либо. Ближайшее время покажет, сможет ли сектор криптовалют адаптировать свои системы безопасности достаточно быстро, чтобы противостоять этим передовым угрозам.