Una peligrosa nueva campaña cibernética del grupo Lazarus de Corea del Norte está atacando a profesionales de criptomonedas y Web3 mediante interfaces falsas de reuniones de Zoom, scripts de PowerShell sin archivos y contenido deepfake generado por IA. El grupo responsable de esta actividad es BlueNoroff, un subgrupo con motivaciones financieras conocido por robar activos digitales. Esta campaña se ha extendido a más de 20 países.

El grupo detrás de esta actividad es BlueNoroff, un subgrupo con motivaciones financieras conocido por robar activos digitales.

Esta campaña se ha extendido a más de 20 países, con Estados Unidos representando el 41% de todas las víctimas identificadas.

El ataque comienza con un correo de spear-phishing. El actor de la amenaza se hace pasar por un profesional legal en el ámbito Fintech y envía una invitación de Calendly al objetivo.

Una vez que la víctima confirma la reunión, el atacante reemplaza discretamente el enlace de Google Meet con una URL de Zoom con errores tipográficos diseñada para parecer casi idéntica a una real.

Cuando la víctima hace clic en el enlace falso, su navegador carga una página HTML autónoma que se ve exactamente como la interfaz de reunión de Zoom, completa con mosaicos de video de participantes falsos, imágenes en bucle y un indicador de hablante activo cíclico.

Analistas de Arctic Wolf identificaron esta intrusión dirigida contra una empresa norteamericana de Web3 y criptomonedas, atribuyéndola con alta confianza a BlueNoroff, también rastreado como APT38, Sapphire Sleet y Stardust Chollima.

Los investigadores descubrieron que la cadena completa de ataque, desde el clic inicial hasta el compromiso total del sistema, se completaba en menos de cinco minutos.

El análisis forense confirmó que el atacante mantuvo acceso persistente en el dispositivo de la víctima durante 66 días, robando credenciales del navegador, datos de sesión de Telegram y metraje de la cámara web en vivo, que luego se reutilizó para crear señuelos más convincentes para futuros objetivos.

Lo que hace que esta campaña sea especialmente dañina es su tubería de producción de deepfakes auto-reforzada. Los analistas descubrieron más de 950 archivos en el servidor de alojamiento del atacante, incluyendo imágenes de retratos generadas por IA confirmadas a través de metadatos criptográficos C2PA como salidas del modelo GPT-4o de OpenAI, metraje real de la cámara web robado de víctimas anteriores y videos deepfake compuestos.

Cada ataque exitoso alimenta material crudo para el siguiente, haciendo que las futuras reuniones sean más convincentes. Los CEOs y fundadores representan el 45% de todos los objetivos identificados, lo que refleja el enfoque de BlueNoroff en individuos con acceso directo a activos de criptomonedas e infraestructura de billeteras.

La entrega de la carga útil ClickFix

Una vez que la víctima ingresa a la reunión falsa de Zoom, aparece una superposición persistente que afirma que el SDK del usuario está desactualizado y necesita una actualización.

Este es un ataque de inyección en el portapapeles estilo ClickFix. La víctima ve lo que parecen comandos de diagnóstico inofensivos y se le indica que los copie y pegue en el cuadro de diálogo Ejecutar de Windows o en la terminal.

Lo que no se dan cuenta es que la página reemplaza silenciosamente el contenido del portapapeles con un comando oculto de ejecución de PowerShell en el momento en que lo copian.

El comando inyectado de PowerShell descarga un script ofuscado de segunda etapa desde el servidor de comando y control del atacante y lo guarda en la carpeta Temp del usuario como un archivo llamado chromechip.log.

Ese archivo se ejecuta en una ventana oculta, instalando un faro C2 persistente que opera completamente en memoria y contacta al atacante cada cinco segundos.

El implante recopila el nombre del host, la versión del sistema operativo, los procesos en ejecución, los privilegios de administrador y los datos de zona horaria, empaquetando todo en un beacon JSON estructurado enviado a un servidor remoto.

Las organizaciones en Web3, criptomonedas y servicios financieros deben verificar todos los enlaces de reuniones a través de un método de comunicación secundario antes de unirse a cualquier llamada.

Las plataformas legítimas nunca piden a los usuarios que ejecuten comandos en la terminal para solucionar problemas de audio o cámara.

Los equipos de seguridad deben bloquear las direcciones C2 identificadas, eliminar el acceso directo de Inicio llamado Chrome Update Certificated.lnk y borrar los archivos chromechip.log y chrome-debug-data001.log de los dispositivos afectados.

Todas las contraseñas almacenadas en el navegador, claves API y credenciales de billeteras de criptomonedas deben rotarse inmediatamente.

El registro de bloqueo de scripts de PowerShell debe habilitarse en todos los endpoints para apoyar la detección temprana de la ejecución de cargas útiles ofuscadas.

Fuentes:

https://arcticwolf.com/resources/blog/bluenoroff-uses-clickfix-fileless-powershell-and-ai-generated-zoom-meetings-to-target-web3-sector/
https://cybersecuritynews.com/new-bluenoroff-campaign-uses-fileless-powershell/