BlueNoroff dùng bộ lừa Zoom/Teams để trinh sát ví crypto và cài mã độc
"BlueNoroff is operating a phishing kit that impersonates Zoom and Microsoft Teams to profile victims' cryptocurrency wallets and deliver malware after social-engineering them through trusted contacts and Telegram. The kit uses ClickFix-style lures, browser fingerprinting, and fake meeting pages; on Windows it can disable Microsoft Defender and deploy loaders, while on macOS it installs a stealer that exfiltrates system data and Chrome master keys. No CVE is mentioned; the reported fix is defensive detection and user awareness rather than a software patch."
Tác động đáng kể do chuỗi tấn công kết hợp chiếm phiên Telegram, trinh sát ví crypto và cài mã độc trên cả Windows lẫn macOS, làm tăng khả năng nhắm mục tiêu có giá trị cao. Điểm then chốt: exfiltrate dữ liệu nhạy cảm/khóa và vô hiệu hoá Microsoft Defender (Windows).
Rủi ro vận hành tập trung vào nhóm người có liên quan tài sản số và kênh liên lạc (Telegram/meeting), có thể dẫn tới mất tài sản và gián đoạn do nhiễm mã độc. Điểm then chốt: nhắm mục tiêu theo giá trị ví và lạm dụng quan hệ tin cậy để mở rộng phạm vi tấn công.
Các tác nhân đe doạ liên quan ClickFix đang vận hành phishing kit giả mạo Zoom và Microsoft Teams nhằm lừa nạn nhân cung cấp quyền truy cập camera, đồng thời trinh sát ví tiền mã hoá trước khi chuyển sang giai đoạn cài mã độc. Chiến dịch lợi dụng lạm dụng niềm tin thông qua danh bạ/đối tác đã bị xâm nhập và chuỗi xã hội hoá qua Telegram, tạo cơ chế lan truyền theo kiểu “một tài khoản bị chiếm đoạt nuôi tài khoản tiếp theo”.
Quy trình thường bắt đầu bằng liên kết lịch hẹn (Calendly) dẫn tới trang giả mạo miền tương tự dịch vụ thật. Khi nạn nhân cấp quyền webcam, luồng video được chuyển lén qua WebRTC tới bảng điều khiển của kẻ tấn công. Sau đó, nạn nhân thấy trang “đang chờ người tham gia” và kẻ vận hành có thể điều khiển phiên, gửi thông báo giả và kích hoạt bước tiếp theo.
Trước khi triển khai payload, bộ công cụ thực hiện fingerprinting trình duyệt để liệt kê extension và nhận diện các ví như MetaMask; trên Windows còn có hành vi vô hiệu hoá Microsoft Defender và cài loader. Trên macOS, mã đánh cắp có khả năng trích xuất dữ liệu hệ thống và Chrome master keys từ iCloud Keychain, rồi exfiltrate qua Telegram.
Khuyến nghị: tăng cường nhận thức người dùng, kiểm soát quyền truy cập camera, hạn chế truy cập tới miền đáng ngờ, và giám sát dấu hiệu Telegram session hijack, hành vi vô hiệu hoá Defender, cũng như truy vấn/đọc dữ liệu nhạy cảm trên endpoint.