Die nordkoreanische Hackergruppe BlueNoroff, eine Unterabteilung des Lazarus-Netzwerks, hat eine umfangreiche Phishing-Kampagne gestartet, die gezielt auf Nutzer von Kryptowährungen abzielt. Dabei verwenden die Akteure täuschend echt wirkende Oberflächen der Kommunikationsplattformen Microsoft Teams und Zoom, um Schadsoftware zu verbreiten und digitale Vermögenswerte zu entwenden.
Gezielte Täuschung durch Social Engineering und KI
Die Angreifer nutzen für ihre Kampagne bereits kompromittierte Telegram-Konten. Über diese versenden sie Einladungen über den Dienst Calendly, die zu gefälschten Meeting-Domains führen. Um die Glaubwürdigkeit der betrügerischen Videokonferenzen zu erhöhen, setzt BlueNoroff moderne Technologien ein: Während den Opfern auf der gefälschten Website die Meldung „Warten auf Teilnehmer“ angezeigt wird, spielen die Betreiber vorab aufgezeichnete, KI-generierte Videos oder Deepfake-Avatare ab.
Sicherheitsanalysten von Arctic Wolf identifizierten in diesem Zusammenhang über 80 Typosquatting-Domains, die legitime Dienste imitieren. Die Untersuchung ergab zudem mehr als 100 identifizierte Ziele der Kampagne. Davon entfallen 80 % auf den Krypto- und Blockchain-Bereich. Besonders im Fokus stehen Führungskräfte: 45 % der anvisierten Personen sind CEOs oder Unternehmensgründer.
Die Professionalität von Phishing-Angriffen erreicht durch KI-gestützte Methoden wie Deepfakes ein neues Level, auf das viele Unternehmen nicht vorbereitet sind. Ein kostenloser Report zeigt, welche psychologischen Tricks Hacker gezielt einsetzen und wie Sie Ihr Unternehmen wirksam davor schützen. Diese 7 psychologischen Schwachstellen jetzt entlarven
Technische Analyse der Angriffsvektoren
Sobald ein Opfer die präparierte Seite besucht, scannt die Phishing-Oberfläche den Browser gezielt nach Krypto-Wallets. Dabei werden sowohl EVM-kompatible Wallets (EIP-6963) als auch Non-EVM-Wallets, wie etwa für Solana, gesucht. Bei Windows-Systemen listet die Seite zudem Erweiterungs-IDs auf, die von den Angreifern mit einer Liste bekannter Wallet-Erweiterungen abgeglichen werden.
Im weiteren Verlauf kommt verschiedene Schadsoftware zum Einsatz. Für Windows-Systeme nutzt die Gruppe einen PowerShell-Loader. Für macOS-Nutzer wurde ein gefälschter Installer entwickelt, der speziell darauf ausgelegt ist, Chrome-Master-Keys zu entwenden. Zwischen dem 22. April und dem 15. Juli 2026 konnten Experten vier verschiedene macOS-Varianten dieser Malware identifizieren. Zudem wurden zwischen dem 31. Mai und dem 14. Juli 2026 fünf unterschiedliche Versionen des zugrunde liegenden Phishing-Kits dokumentiert.
Der Angriff umfasst zudem einen sogenannten ClickFix-Clipboard-Angriff, um Zugangsdaten für Wallets zu ernten. Darüber hinaus exfiltriert die Malware Daten der Webcam, Systeminformationen sowie Sitzungsdaten des Messenger-Dienstes Telegram.
Da Hacker gezielt technische Sicherheitslücken und das menschliche Vertrauen ausnutzen, benötigen Firmen eine proaktive Abwehrstrategie. Erfahren Sie in diesem kostenlosen Anti-Phishing-Paket, wie Sie Phishing-Angriffe in vier Schritten stoppen, bevor ein ernsthafter Schaden entstehen kann. Kostenlosen Leitfaden zur Hacker-Abwehr anfordern
Ausmaß und forensische Erkenntnisse
Berichten zufolge gelingt es BlueNoroff, Opfer in unter fünst Minuten vollständig zu kompromittieren. Bisher wurden über 100 Opfer in mehr als 20 Ländern registriert, wobei der Schwerpunkt mit 41 % der Betroffenen in den USA liegt. Analysten stellten fest, dass die Aktivitäten der Gruppe zeitlich präzise mit den nordkoreanischen Geschäftszeiten zusammenfallen.
Ein Durchbruch bei der Untersuchung gelang JUMPSEC. Den Experten war es möglich, den Quellcode des Phishing-Kits wiederherzustellen, nachdem die Angreifer versehentlich JavaScript Source Maps offengelegt hatten. Diese Informationen erlaubten tiefe Einblicke in die Funktionsweise der von BlueNoroff eingesetzten Infrastruktur. Die Kampagne verdeutlicht die zunehmende Professionalisierung nordkoreanischer Akteure, die durch die Kombination von KI-Technologie und technischer Präzision gezielt den globalen Finanz- und Kryptosektor unter Druck setzen.
