Хакеры, связанные с Северной Кореей, используют поддельные видеозвонки для атак на специалистов в области криптовалют

Хакеры, связанные с Северной Кореей, продолжают использовать прямые видеозвонки, включая сгенерированные искусственным интеллектом дипфейки, чтобы обманывать разработчиков и специалистов в области криптовалют, заставляя их устанавливать вредоносное программное обеспечение на свои устройства.

В последнем зафиксированном случае, о котором сообщил соучредитель BTC Prague Мартин Кучар, злоумышленники использовали взломанный аккаунт Telegram и подставной видеозвонок, чтобы распространить вредоносное ПО, замаскированное под исправление для Zoom, как он сообщил.

Эта "высокоуровневая хакерская кампания", по-видимому, "направлена на пользователей Bitcoin и криптовалют", - сообщил Кучар в четверг в X.

Злоумышленники связываются с жертвой и устанавливают видеозвонок через Zoom или Teams, объяснил Кучар. Во время звонка они используют видео, сгенерированное искусственным интеллектом, чтобы казаться человеком, которого жертва знает.

Затем они заявляют о проблеме со звуком и просят жертву установить плагин или файл для ее исправления. После установки вредоносное ПО предоставляет злоумышленникам полный доступ к системе, позволяя им красть Bitcoin, получать контроль над аккаунтами Telegram и использовать эти аккаунты для атак на других.

Это происходит на фоне того, что мошенничество с использованием искусственного интеллекта привело к рекордным потерям в сфере криптовалют, достигнувшим 17 миллиардов долларов в 2025 году, причем злоумышленники все чаще используют дипфейковые видео, клонирование голоса и поддельные личности, чтобы обманывать жертв и получать доступ к средствам, согласно данным аналитической компании Chainalysis.

Аналогичные атаки

Атака, описанная Кучаром, очень похожа на технику, впервые задокументированную компанией по кибербезопасности Huntress, которая сообщила в июле прошлого года, что эти злоумышленники заманивают жертву-специалиста в подставной видеозвонок Zoom после первоначального контакта в Telegram, часто используя поддельную ссылку на встречу, размещенную на поддельном домене Zoom.

Во время звонка злоумышленники заявляют о проблеме со звуком и инструктируют жертву установить то, что кажется исправлением, связанным с Zoom, которое на самом деле является вредоносным AppleScript, инициирующим многоэтапное заражение macOS, по данным Huntress.

После выполнения скрипт отключает историю командной строки, проверяет наличие или устанавливает Rosetta 2 (слой трансляции) на устройствах с чипами Apple Silicon и неоднократно запрашивает у пользователя пароль системы для получения расширенных привилегий.

Исследование показало, что вредоносное ПО устанавливает несколько компонентов, включая постоянные бэкдоры, программы для перехвата нажатий клавиш и инструменты для работы с буфером обмена, а также инструменты для кражи криптовалютных кошельков, - последовательность, на которую Кучар указал, когда в понедельник сообщил, что его аккаунт Telegram был взломан и впоследствии использован для атак на других таким же образом.

Социальные паттерны

Специалисты по безопасности из Huntress с высокой степенью уверенности связывают эту атаку с продвинутой постоянной угрозой (APT), связанной с Северной Кореей, известной как TA444, также известной как BlueNoroff и под другими псевдонимами, действующей под общим названием Lazarus Group, - государственной группы, специализирующейся на краже криптовалюты, по крайней мере, с 2017 года.

Когда его спросили об оперативных целях этих кампаний и о том, считает ли он, что существует корреляция, Шань Чжан, главный специалист по информационной безопасности компании Slowmist, занимающейся безопасностью блокчейн-технологий, сообщил изданию Decrypt, что последняя атака на Кучаря "возможно" связана с более масштабными кампаниями, проводимыми группировкой Lazarus.

"Мы видим явное повторение одних и тех же методов в различных кампаниях. Мы постоянно наблюдаем таргетирование конкретных кошельков и использование очень похожих скриптов установки", - сказал Дэвид Либерман, соавтор децентрализованной сети для вычислений на основе искусственного интеллекта Gonka, изданию Decrypt.

Либерман заявил, что "изображения и видео больше нельзя рассматривать как надежное доказательство подлинности", добавив, что цифровой контент "должен быть криптографически подписан его создателем, и такие подписи должны требовать многофакторной аутентификации".

Либерман отметил, что в контексте подобных ситуаций "повествования стали важным сигналом для отслеживания и обнаружения", поскольку эти атаки "основаны на знакомых социальных моделях".

Северокорейская группировка Lazarus Group связана с кампаниями против криптовалютных компаний, сотрудников и разработчиков, использующими специально разработанное вредоносное ПО и сложные методы социальной инженерии для кражи цифровых активов и получения доступа к учетным данным.