Se ha descubierto que los actores de amenazas de Corea del Norte detrás de las campañas estilo ClickFix, que utilizan dominios de Zoom y Microsoft Teams con errores tipográficos, operan un kit de phishing activo para suplantar estas plataformas de videoconferencia en campañas de ingeniería social diseñadas para entregar malware. "BlueNoroff ha operativizado el abuso de confianza combinando contactos industriales comprometidos, ingeniería social, reconocimiento de billeteras y entrega de malware en un proceso repetible de adquisición de víctimas", afirmó JUMPSEC en un informe detallado compartido con JUMPSEC. "La plataforma analiza las billeteras de criptomonedas de las víctimas antes de la entrega del malware, lo que permite el direccionamiento selectivo de víctimas de alto valor". Al describir la campaña como una plataforma de adquisición de víctimas impulsada por un operador, la empresa de ciberseguridad señaló que la actividad implica el uso de contactos de confianza comprometidos como vector de acceso inicial para crear una cadena de ataque autopropagable a través de Telegram. Los detalles de la actividad han sido documentados minuciosamente desde principios de 2025, y Sekoia ha rastreado un segundo grupo de amenazas alineadas con Corea del Norte bajo el nombre de "ClickFake Interview", debido al uso de señuelos similares a ClickFix para engañar a objetivos desprevenidos y lograr que ejecuten comandos maliciosos bajo el pretexto de solucionar problemas de cámara o audio. Según JUMPSEC, los enlaces de señuelo se distribuyen desde una cuenta en la que el objetivo ya confía y con la que se ha reunido en la vida real, ya que los atacantes secuestran cuentas legítimas de Telegram de personas del sector de las criptomonedas para enviar mensajes a empleados de alto rango de grandes empresas y compartir un enlace de reunión de Calendly. "Cada víctima que ejecuta la carga útil con Telegram Web abierto o Telegram Desktop instalado es candidata a que su sesión de Telegram sea robada y reutilizada contra sus propios contactos", dijo JUMPSEC, describiendo la naturaleza autosostenible de la campaña y cómo el compromiso de una cuenta alimenta la siguiente. El enlace de Calendly lleva a la víctima a lo que parece ser una URL de reunión de Zoom, pero, en realidad, es un dominio falso que suplanta el servicio. A los usuarios que llegan a la página de phishing se les pide que introduzcan su nombre y concedan permisos para acceder a la cámara web. Sin embargo, una vez concedidos los permisos, la transmisión de la cámara se envía sigilosamente al panel del operador a través de mediasoup WebRTC.

  El panel del operador, con múltiples funciones En la etapa final, después de que la víctima se une a la reunión, se le muestra otra página donde parece estar solo en una llamada de Zoom, junto con el mensaje "esperando a otros participantes". Esto prepara el escenario para la siguiente fase del ataque. "Una vez que la víctima se ha unido, el operador puede continuar usando su panel para controlar la reunión, enviar mensajes falsos de 'tu micrófono no funciona' y activar la 'Actualización del SDK de Zoom', lo que finalmente resulta en la carga útil de ClickFix", explicó JUMPSEC. Simultáneamente, el kit ejecuta un paso de huellas digitales en el navegador web para inventariar las billeteras de criptomonedas instaladas, tras lo cual el "administrador" se une a la reunión falsa. El giro aquí es que el vídeo que ve la víctima no es una transmisión en vivo, sino un vídeo preeditado con rostros generados por IA creados con OpenAI ChatGPT y superpuestos sobre movimientos corporales auténticos capturados en reuniones anteriores. "Así que cada ataque exitoso alimenta el material de origen para los compuestos utilizados contra el siguiente objetivo", explicó JUMPSEC. "Esto, combinado con el método de toma de control de cuentas de Telegram, significa que la reunión falsa muestra un rostro plausiblemente familiar, moviéndose con el lenguaje corporal de alguien que fue capturado realmente en cámara". La empresa de ciberseguridad dijo que capturó dos variantes de señuelos distintos, uno para Zoom y otro para Microsoft Teams. Se evalúa que la variante de Teams está más pulida que la de Zoom, ya que admite reacciones con emojis, bloqueo de móviles/tablets y sondas avanzadas de billeteras antes de la entrega del malware. Las cadenas de ataque ClickFix son compatibles tanto con Windows como con macOS. Una breve descripción de cada una es la siguiente:

* Cadena de ataque en Windows:
* El comando ClickFix ejecuta un cargador de PowerShell que descarga y ejecuta un VBScript, desactiva Microsoft Defender, añade la carpeta "C:\Users" a la ruta de exclusión y reinicia forzosamente Defender para que se apliquen las exclusiones.
* El implante VBScript busca archivos relacionados con Telegram Web en los directorios de perfiles de Google Chrome, Microsoft Edge, Brave y Mozilla Firefox, probablemente para determinar si la víctima tiene una cuenta de Telegram activa y secuestrar las cookies de sesión para tomar el control de la cuenta y atacar a otras personas de interés.
* El implante enumera las extensiones instaladas en diversos navegadores y las coteja con extensiones de billeteras conocidas como MetaMask para identificar objetivos de alto valor.
* El implante también permite entregar cargas útiles de siguiente etapa, aunque su naturaleza exacta sigue siendo desconocida. * Cadena de ataque en macOS:
* El comando ClickFix ejecuta un script de shell, que luego descarga un instalador falso de Teams (o Zoom).
* El instalador ejecuta la carga útil principal del stealer para extraer y exfiltrar datos sensibles, incluyendo metadatos del sistema y claves maestras de Google Chrome del llavero de iCloud, hacia el atacante a través de un canal de Telegram llamado "Aurora", y despliega cargas útiles adicionales. Análisis posteriores han determinado que la función de exfiltración de Telegram tiene codificados el token del bot y el ID del chat dentro del binario del stealer. Al consultar la API de Telegram para el token del bot, se ha vinculado a un operador que se hace llamar "John" (@alchemy_john_mac). Recientemente, en mayo de 2026, se observó a este individuo preguntando a administradores del grupo de criptomonedas MAIV sobre contratos de adquisición y retiro de fondos. Además, un examen de la infraestructura del actor de amenazas ha llevado al descubrimiento de cinco versiones distintas del kit de phishing entre el 31 de mayo y el 14 de julio de 2026, lo que indica esfuerzos activos de desarrollo y ajuste.

Un enfoque específico en zoom y teams

Un aspecto notable de la campaña es su enfoque específico en señuelos relacionados con Zoom y Teams, en lugar de, por ejemplo, Google Meet. Sean Moran, jefe de investigación de amenazas y habilitación en JUMPSEC, explicó que existen tres razones posibles detrás de este comportamiento: el pretexto de ClickFix, la adecuación de la aplicación objetivo y la superficie de typosquatting.

"Todo el gancho es que el 'SDK de Zoom/Teams está desactualizado'; eso solo funciona en plataformas que las víctimas creen que tienen un cliente de escritorio pesado (como Teams y Zoom). Pero Google Meet no tiene una aplicación de escritorio y es primordialmente del navegador, por lo que no tendría sentido allí.

Zoom y Teams son los predeterminados para muchos inversores de capital riesgo, fundadores y personas del mundo financiero, mientras que Google Meet se siente más como una plataforma de llamadas para clientes que como una 'llamada de inversores o socios'.

Todo el esquema de dominios como 'us.zoom.06webin.us' hace que sea muy fácil para alguien caer en sus enlaces falsos porque son muy similares a los enlaces reales de Zoom con todos los subdominios, mientras que 'meet.google.com' es más difícil de suplantar". Moran también señaló que, aunque el kit de phishing actualmente solo incluye páginas de señuelo de Zoom y Teams, existe un equivalente de Google Meet como un fragmento no implementado en el código fuente. Esto, añadió, es probablemente una elección deliberada por los factores mencionados y el hecho de que la configuración actual está funcionando activamente. "Las implicaciones se extienden más allá de esta campaña específica. A medida que Web3 y los activos digitales continúan madurando, los actores de amenazas reconocen cada vez más que comprometer a las personas que controlan el acceso puede ser tan valioso como atacar la infraestructura misma", concluyó JUMPSEC. "El refinamiento continuo de BlueNoroff demuestra que las organizaciones deben considerar la identidad, las relaciones y los canales de comunicación como partes críticas de su postura de seguridad".

Fuente:
THN