11 июня 2025 года специалисты компании Huntress получили тревожный сигнал от партнера: один из пользователей загрузил потенциально вредоносное расширение для Zoom. Углубленный анализ показал, что атака началась задолго до этого - злоумышленники использовали изощренную схему социальной инженерии, чтобы проникнуть в систему.
Описание
С высокой долей уверности эксперты атрибутируют эту кампанию северокорейской APT-группе, известной под именами BlueNoroff, TA444, Sapphire Sleet или COPERNICIUM. Эта группировка, связанная с правительством КНДР, специализируется на атаках на криптовалютные активы с 2017 года. Их методы становятся все сложнее: от фишинга до использования deepfake-технологий в видеозвонках.
Все началось с сообщения в Telegram. Сотрудник криптовалютного фонда получил приглашение на встречу через сервис Calendly. Ссылка вела на поддельный домен Zoom, контролируемый хакерами. Жертва присоединилась к групповому звонку, где вместо реальных коллег увидела deepfake-версии руководства компании. Во время разговора злоумышленники убедили пользователя установить «исправление» для Zoom - вредоносный AppleScript, скрытый среди тысяч пустых строк кода.
Скрипт отключал логирование, проверял наличие Rosetta 2 (для совместимости с x86-бинарниками на Mac) и загружал вредоносную полезную нагрузку. Далее злоумышленники использовали целый арсенал инструментов:
- Telegram 2 - основной имплант для поддержания доступа, написанный на Nim.
- Root Troy V4 - бэкдор на Go, загружающий дополнительные модули.
- InjectWithDyld - загрузчик, использующий уязвимости macOS для внедрения кода в легитимные процессы.
- XScreen - кейлоггер, записывающий нажатия клавиш, содержимое буфера обмена и даже делающий скриншоты экрана.
- CryptoBot - специализированный стилер, нацеленный на кошельки MetaMask, Trust Wallet и другие.
Особого внимания заслуживает техника инъекции кода в процессы macOS. Злоумышленники использовали отладочные права (com.apple.security.cs.debugger), чтобы внедрять вредоносные библиотеки в легитимные приложения. Это редкий случай для macOS, где подобные атаки ранее почти не встречались.
Эта атака демонстрирует, как государственные хакеры сочетают социальную инженерию с техническими ухищрениями. Deepfake-звонки, поддельные расширения и сложные методы обхода защиты - все это делает BlueNoroff одной из самых опасных группировок в сфере киберпреступности. Криптовалютные компании должны усилить защиту, особенно в части проверки внешних сообщений и контроля за запуском сторонних скриптов.
Индикаторы компрометации
