朝鲜黑客如何利用可信视频会议访问加密货币钱包和私人数据

相反，这种陷阱看起来就像一个普通的工作电话--熟悉的面孔、例行的闲聊以及解决技术问题的简单请求。

当受害者意识到出了问题时，他们的资金往往已经不翼而飞。

虚假视频会议将信任变成切入点

安全联盟 (SEAL) 表示，它每天都在追踪与朝鲜威胁行为者有关的多起利用虚假 Zoom 和 Microsoft Teams 会议交付恶意软件的尝试。

这些活动的目标是加密货币创始人、开发人员、投资者和任何可以访问数字资产或内部系统的人。

MetaMask 安全研究员泰勒-莫纳汉（Taylor Monahan，网名 Tayvano）最先揭露了这种骗局的运作方式和效果。朝鲜的威胁行为者仍在通过他们伪造的 Zoom 和伪造的 Teams 会议贿赂你们中的许多人。"

被劫持的 Telegram 帐户使攻击看起来合法

攻击通常从 Telegram 开始。

黑客首先控制一个真实帐户，该帐户属于受害者已经认识的人--以前的联系人、在会议上认识的投资者或以前项目中的同事。

Monahan 说：

"他们会给每个人发送具有先前对话历史记录的消息。"

利用这些现有的聊天记录，攻击者会建立可信度，然后建议进行电话叙旧。

录制的面孔，真实的压力

一旦通话开始，受害者就会看到一个令人信服的视频画面，其中有已知的人，有时还有其他假定的团队成员。

转折点出现在攻击者声称存在技术问题（通常是音频不佳）的时候。

攻击者会提供快速解决方案：下载补丁、更新 SDK 或运行通过会议聊天发送的小脚本。

该文件携带恶意软件。

从单击到完全设备控制

如果安装，有效载荷通常是远程访问木马。

它会悄悄地让攻击者控制设备，允许他们窃取密码、私钥、内部安全文档和 Telegram 会话令牌。

加密钱包通常会被全部榨干。

被盗的 Telegram 访问权限随后会被重新用于接近下一组受害者，从而使该骗局能够通过可信网络迅速传播。

Monahan 警告说，这种方法利用的是职业习惯而不是技术弱点。

业务电话的紧迫性和希望帮助解决问题的礼貌性被用来迫使受害者跳过基本检查。

从深度伪造转向长期社会工程

网络安全研究人员认为这是一种战略变化。

朝鲜组织不再依赖深度伪造视频或大规模网络钓鱼，而是将重点放在以真实关系为基础的慢速、有针对性的行动上。

Lazarus Group 和其他与朝鲜有关联的行为者已经与针对加密货币公司的虚假求职面试和招聘活动联系在一起。

上个月，韩国最大的交易所 Upbit 发生了一起价值 3060 万美元的漏洞事件，也与该组织有关。

SEAL 和其他专家表示，假会议战术是目前该战术手册中最有效的工具之一。

为什么加密货币用户尤其容易受到攻击

加密货币交易是不可逆的，而且访问通常取决于持有私人密钥的单一设备。

一旦恶意软件就位，几乎没有时间做出反应。

专家警告说，现在应将视频通话中任何下载软件的请求视为主动威胁，无论请求者是谁。

立即行动可以限制损失

安全公司建议任何怀疑受到威胁的人立即切断 WiFi 并关闭设备电源以中断恶意软件。

资金应从干净的设备转移到新的钱包中，并更换所有相关密码。

建议在再次使用被入侵的机器之前进行一次全面的系统擦除。

随着视频通话和消息应用程序成为加密行业的日常工具，攻击者正在赌熟人会不断降低防御能力。

就目前而言，最安全的假设很简单：例行会议可能不是例行会议。