Serangan Siber oleh Kelompok Peretasan BlueNoroff
Kelompok peretasan yang terkait dengan Korea Utara, BlueNoroff, menggunakan rapat Zoom dan Microsoft Teams palsu untuk memprofil pengguna cryptocurrency sebelum menyebarkan malware. Perusahaan keamanan siber JUMPSEC melaporkan bahwa mereka telah memulihkan dan menganalisis kode sumber dari kit phishing aktif setelah operatornya mengekspos peta sumber JavaScript di infrastruktur langsung. File-file tersebut menunjukkan adanya umpan Zoom dan Teams yang terpisah, alat pemindaian dompet, kontrol operator, serta jalur pengiriman malware untuk Windows dan macOS.
Metode Serangan
Serangan ini sering dimulai melalui akun Telegram yang sudah dipercaya oleh target. Para peretas mengambil alih akun yang dimiliki kontak di dunia cryptocurrency, kemudian mengirim undangan Calendly yang mengarah ke domain rapat yang mirip. JUMPSEC menggambarkan sistem ini sebagai saluran korban yang dapat diulang, karena satu sesi Telegram yang dicuri dapat membantu para penyerang menghubungi kelompok target berikutnya.
Halaman phishing mulai memindai browser ketika pengguna memasuki rapat palsu. Ini mencari koneksi dompet Ethereum melalui EIP-6963 dan metode browser yang lebih lama.
Selain itu, alat ini juga memeriksa dompet non-EVM, termasuk alat Solana. Hasil pemindaian tersebut mencapai panel operator tanpa memberi tahu korban, memungkinkan para penyerang untuk mengidentifikasi dompet dan memilih target dengan nilai lebih tinggi sebelum melanjutkan ke tahap berikutnya.
Profiling dan Intrusi
Di Windows, implan juga mencantumkan ID ekstensi di berbagai varian Chrome, Edge, Brave, Opera, Vivaldi, dan Firefox. Operator dapat membandingkan ID tersebut dengan ekstensi dompet yang dikenal, seperti MetaMask. JUMPSEC menyebut ini sebagai sistem yang memprofil dompet “sebelum pengiriman malware.” Metode ini berbeda dari kampanye phishing yang luas, karena para penyerang mengumpulkan data dompet sebelum memutuskan seberapa jauh mereka akan melakukan intrusi.
Korban pertama kali melihat halaman rapat yang meyakinkan yang meminta nama dan akses webcam mereka. Situs tersebut kemudian mengirim aliran kamera ke panel kontrol penyerang. Setelah korban bergabung, layar menunjukkan “menunggu peserta lain.” Seorang operator dapat masuk dengan video yang sudah disiapkan, mengirim pesan seperti “mikrofon Anda tidak berfungsi,” dan memicu prompt palsu “Pembaruan SDK Zoom.” JUMPSEC menemukan bahwa video peserta yang ditampilkan tidak langsung.
Para penyerang menggabungkan foto wajah yang dihasilkan AI dengan gerakan tubuh yang ditangkap dalam rapat sebelumnya, sehingga mereka dapat menunjukkan orang yang tampak familiar sambil menggunakan akun Telegram yang dimiliki kontak nyata.
Variasi dan Evolusi Malware
Versi Teams mencakup reaksi emoji, pengaturan perangkat, efek latar belakang, dan pemeriksaan dompet yang lebih luas, menjadikannya lebih halus dibandingkan kit Zoom. Kode sumber juga mengandung opsi Google Meet yang belum selesai. JUMPSEC menyatakan bahwa Zoom dan Teams cocok untuk umpan karena keduanya menggunakan klien desktop, sehingga pembaruan perangkat lunak mendesak tampak lebih kredibel.
Di Windows, perintah ClickFix yang disalin menjalankan pemuat PowerShell kecil. Ini mengunduh VBScript, menambahkan pengecualian Microsoft Defender, dan memulai ulang Defender agar perubahan berlaku. Implan mengumpulkan detail sistem, memeriksa browser untuk ekstensi dompet, dan mencari file Telegram Web. Ini juga dapat menerima muatan selanjutnya dari operator, meskipun JUMPSEC tidak memulihkan setiap file tahap akhir.
Jalur macOS mengunduh penginstal Zoom atau Teams palsu sementara pencuri berjalan di latar belakang. Peneliti menemukan versi yang mengumpulkan informasi sistem dan kunci master Chrome dari Keychain Apple. Malware ini mengirim data melalui bot Telegram dan dapat mengunduh muatan lain.
Rekomendasi untuk Organisasi
JUMPSEC melacak empat varian macOS antara 22 April dan 15 Juli, menunjukkan bahwa operator terus mengubah toolkit selama kampanye. Temuan ini memperluas penelitian sebelumnya tentang operasi rapat palsu BlueNoroff. Pada bulan April, Arctic Wolf melaporkan lebih dari 80 domain Zoom dan Teams yang mirip dan mengidentifikasi 100 target tambahan yang media mereka muncul di infrastruktur penyerang.
Mereka menyatakan bahwa 80% dari target yang diidentifikasi bekerja di sektor cryptocurrency, keuangan blockchain, atau investasi terkait, sementara pendiri dan CEO menyusun 45%.
Penyerang Korea Utara telah menggunakan akun Telegram yang dikompromikan, undangan rapat yang dipalsukan, dan pembaruan perangkat lunak palsu untuk menargetkan eksekutif di sektor cryptocurrency. Laporan dari crypto.news lainnya menggambarkan kampanye macOS terkait yang meminta korban untuk menjalankan perintah selama panggilan palsu.
Kit terbaru memberi operator kontrol langsung atas kecepatan setiap rapat dan prompt malware. JUMPSEC menyarankan organisasi untuk memperlakukan tautan rapat dari akun tepercaya dengan hati-hati, karena akun pengirim mungkin sudah dikompromikan. Tim cryptocurrency dapat memverifikasi undangan yang tidak biasa melalui saluran lain, menghindari perintah atau pembaruan yang disajikan selama panggilan, mencabut sesi Telegram yang terpapar, dan mengisolasi perangkat apa pun yang menjalankan skrip yang diminta.
Tim juga harus meninjau aktivitas PowerShell, pengecualian Defender, akses Keychain, dan login Telegram baru setelah panggilan yang mencurigakan. Reset kata sandi saja mungkin tidak menghapus sesi yang dicuri atau malware yang sudah berjalan di perangkat di seluruh sistem yang terpengaruh.
