Lazarusエコシステムとつながりを持つ、金銭目的の北朝鮮系脅威グループBlueNoroffが、Telegramの乗っ取ったアカウントと偽のビデオ会議を使ってWeb3や暗号資産関連組織を標的にしていることが分かりました。
今回のキャンペーンでは、侵害された被害者自身が新たな配布経路に変えられ、信頼関係を土台とした攻撃チェーンが繰り返される構造になっています。
JUMPSECの研究者らは、ZoomやMicrosoft Teamsになりすます活動中のフィッシングキットについて、外部に露出していたソースマップを入手しました。
ソースコードレベルでの可視化により、Telegramアカウントの悪用、ウォレットの探索、ディープフェイクさながらの会議への誘導、ClickFixによるソーシャルエンジニアリング、そしてWindowsとmacOS向けマルウェア配布を組み合わせた、被害者獲得のための完全なプラットフォームが明らかになりました。
この攻撃が特に危険なのは、最初のメッセージが業界の実在する知人が所有する正規のTelegramアカウントから送られてくる点です。
確認された事例では、標的となった人物がその連絡相手と実際に対面したことがあったり、すでに信頼関係を築いていたりしたケースがあり、送信者確認という一般的な対策アドバイスが効果を発揮しにくくなっています。
攻撃者はまずTelegramアカウントを侵害し、その被害者の職業上の人脈に接触できる機会を待ちます。
その後、ZoomやTeamsの会議招待に似せたリンクを送りつけますが、その際には一見して本物らしく見えるよう作り込まれたタイポスクワッティングドメインが使われます。
標的がリンクを開くと、フィッシングページはユーザー名とウェブカメラへのアクセスを求め、通常のビデオ通話参加手順を模倣します。
取得されたウェブカメラの映像はWebRTCを通じて攻撃者が管理するパネルに送信される一方、被害者は偽の会議ロビーに待機させられます。
攻撃者側は、事前に録画した映像や、過去の会議で撮影された身体の動きに重ねたAI生成の顔を使って、この演出された通話に参加することができます。
この手法により、実際に会話をすることなく、見慣れた参加者がそこにいるかのような印象を作り出せます。
偽の参加者は音声に問題があると主張し、被害者に対してZoomまたはTeamsのSDKアップデートが必要だと伝えます。
続いて偽のアップデートダイアログが表示され、標的にコマンドをコピーして実行するよう指示しますが、実際にはページが表示テキストを密かに悪意あるClickFixのペイロードに差し替えます。
Windows環境では、コピーされたClickFixコマンドを実行すると、コンパクトなPowerShellローダーが起動し、攻撃者が管理するインフラからVBScript製のインプラントを取得します。
このローダーはMicrosoft Defenderの除外設定を追加し、それを適用するためにDefenderを再起動したうえで、異なるビーコン機能に対応する個別の引数を付けてダウンロードしたスクリプトを実行します。
回収されたVBScriptインプラントの1つは、セキュリティエンジンによってTrojan.NukeSpedと識別されました。これは以前からLazarusの活動と関連付けられてきたマルウェアファミリーです。
このインプラントは、コマンド&コントロールサーバーからコマンドを受け取る前に、ホスト情報、OS、プロセッサ、ネットワーク、プロセス、ブラウザ拡張機能、ユーザー情報を収集します。
注目すべき点として、あるバージョンではChrome、Edge、Brave、Firefoxのブラウザプロファイルディレクトリを調べ、Telegram WebのIndexedDBデータの有無を確認します。
そのため、Telegramを日常的に利用している被害者は、攻撃者が新たな連絡相手へのメッセージ送信に再利用しうる、セッション情報窃取の潜在的な発生源となりかねません。
この機能こそが、自己増殖モデルの中核を成しています。JUMPSECの調査では、分析対象となった3件のうち2件で、この手口がさらに別の人物への接触に使われていたことが判明しており、より広い視点で見ればこの手法はBlueNoroffが過去に確認されているGhostCall型の拡散手法と重なる部分があります。
注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記（例: [.]）としています。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス環境内でのみ行ってください。
SOC調査の死角をなくし、ANY.RUNで脅威をより早期に封じ込めることで、対応コストと業務への影響を軽減できます。
翻訳元: https://cyberpress.org/bluenoroffs-telegram-meeting-trap/
