BlueNoroff 伪造会议工具包可捕获网络摄像头画面、禁用 Defender 并窃取加密货币凭证

原创

ZM
ZM

暗镜

2026年7月29日 06:00
北京

在小说阅读器读本章

去阅读

据观察，与 Lazarus Group 有关联的、以经济利益为目的的威胁组织 BlueNoroff 部署了一套高度复杂的“虚假会议”网络钓鱼工具包。它能够捕获网络摄像头图像、绕过微软Defender，并有针对性地窃取加密货币凭证。

JUMPSEC 的最新研究提供了罕见的源级可视性，揭示了攻击者在实时基础设施上错误地暴露了 JavaScript 源代码映射后的操作过程，使分析人员能够重建跨 Windows 和 macOS 环境的完整攻击生命周期。

与之前依赖简单伪造会议页面的活动不同，此次行动是一个结构化的受害者获取平台。攻击者将已掌握的行业联系人（尤其是通过 Telegram）与量身定制的社会工程和钱包侦察相结合，有选择地针对高价值加密货币用户。

泄露的源代码揭示了完整的 Zoom 和Microsoft Teams 模仿工具包，有证据表明可能存在 Google Meet 变体，并通过“googie.us-gmeet.com”等基础设施工件进行引用。这些钓鱼页面被构建成单页应用程序，能够模仿合法的会议工作流程，同时悄悄执行侦察脚本。一旦受害者访问了通常由被劫持的受信任联系人发送的链接，该平台就会通过 WebRTC 启动网络摄像头访问，并将视频直接流式传输到攻击者控制的面板。同时，该工具包使用 EIP-6963 提供商发现、传统 window.ethereum 探测以及 Solana 等非 EVM 钱包枚举等技术，对基于浏览器的加密货币钱包进行广泛的指纹识别。这种侦察手段使操作人员能够在部署恶意软件之前识别高价值目标，从而显著提高行动效率。通过对被动 DNS、VirusTotal、urlscan.io 和反向 DNS 数据的分析，调查范围扩大到最初的基础设施集合之外，发现了其他活动基础设施。在 Windows 系统上，攻击始于一个轻量级的 PowerShell 加载器，该加载器会下载并执行一个名为 Trojan.NukeSped 的 VBScript 植入程序，这是一个与 Lazarus 行动相关的恶意软件家族。

ioc