Хакеры используют Deepfake Zoom Call для взлома криптовалютной компании

Хакеры использовали поддельный звонок через Zoom со спецэффектами глубокого обучения, чтобы взломать систему Mac криптовалютной компании и украсть данные криптовалютного кошелька.

Huntress, компания по кибербезопасности, обнаружила продвинутую кибератаку 11 июня 2025 года, когда их партнер сообщил о подозрительной активности от расширения Zoom. Государственно поддерживаемая хакерская группа из Северной Кореи, известная как TA444, BlueNoroff или Stardust Chollima, провела атаку на фонд криптовалюты с помощью видеозвонков с использованием технологии глубокого подделывания (deepfake) и специально созданного вредоносного ПО для Mac.

Атака началась несколько недель назад, когда один из сотрудников получил неожиданное сообщение в Telegram, которое привело его к ссылке на Google Meet. Эта ссылка перенаправила пользователя на поддельный сайт Zoom, где он позже участвовал во встрече, наполненной deepfake-ами. Система заблокировала их микрофон, поэтому им предложили скачать вредоносное расширение для Zoom. Файл AppleScript ‘zoom_sdk_support.scpt’ выглядел безобидно, но в тайне устанавливал вредоносное программное обеспечение в фоновом режиме.

Вредоносное ПО отключило ведение истории во время установки Rosetta 2 для обеспечения совместимости программного обеспечения, а затем загрузило дополнительные инструменты, которые включали в себя «задние двери», кейлоггеры и воры криптовалют. Исследователи из Huntress обнаружили восемь различных вредоносных файлов, которые специально нацеливались на пользователей macOS с помощью передовых техник внедрения в процесс, которые необычны для систем Apple.

Ключевые компоненты включали в себя «Telegram 2» — постоянное внедрение, позволяющее удаленный доступ; «Root Troy V4» — полнофункциональный бэкдор; и «CryptoBot», разработанный для поиска и кражи данных криптовалютного кошелька из браузеров. Хакеры также использовали аватары глубокой подделки, чтобы создать доверие и собрать пароли.

Компания советует организациям быть осторожными при получении срочных приглашений на встречи, изменений платформы в последнюю минуту и запросов на установку незнакомых расширений — особенно от неизвестных контактов.