偽Zoom会議で暗号資産ウォレットを事前調査、北朝鮮「BlueNoroff」の高度なフィッシング手法が判明

要点

• 北朝鮮のハッカー集団「BlueNoroff」が、ZoomやMicrosoft Teamsを偽装した高度なフィッシングキットを使用している。

• 攻撃は信頼できる知人の乗っ取られたTelegramアカウントから始まり、日程調整ツールのリンクを通じて偽の会議サイトへ誘導される。

• 偽サイトではWebRTC技術でカメラ映像が送信されるほか、ブラウザ内の暗号資産ウォレット情報がスキャンされる。

• 標的が価値ある暗号資産を保有している場合、マイクの不調などを装い「アップデート」と称してマルウェアを実行させる。

• 感染した被害者のTelegramセッションも盗まれ、次の標的への攻撃に悪用されることで自己増殖的に連鎖する。

• サイバーセキュリティ企業のJUMPSECは2026年7月24日、北朝鮮の国家支援を受けるとされる脅威アクター「BlueNoroff（ブルーノロフ）」が、ビデオ会議プラットフォームを精巧に模倣したフィッシングキットを運用しているとする詳細な調査レポートを公開した。このレポートによると、攻撃者は被害者の暗号資産ウォレットの情報を事前にスキャンし、価値の高い標的を選別した上でマルウェアを配信しているという。

• この攻撃は、被害者が信頼している暗号資産業界の関係者のTelegram（メッセージングアプリ）アカウントを乗っ取ることから始まる。攻撃者は乗っ取ったアカウントになりすまして標的に連絡を取り、日程調整ツール「Calendly（カレンドリー）」の会議リンクを送信する。リンクをクリックした被害者は、本物の会議URLに見えるが、実際にはスペルを微妙に変えたタイポスクワット（本物のドメイン名に似せて誤認を狙う手法）のフィッシングサイトに誘導される。

• 偽の会議サイトにアクセスした被害者は、名前の入力とウェブカメラへのアクセス許可を求められる。許可を与えると、WebRTC（ブラウザ上でリアルタイムにビデオや音声の通信を行う規格）をサポートするメディアサーバー「mediasoup（メディアスープ）」を介して、カメラの映像が攻撃者の管理パネルに密かに送信される。その後、被害者には「他の参加者を待っています」という画面が表示され、一人で待機しているような状態になる。この間にフィッシングキットは被害者のブラウザをスキャンし、インストールされている暗号資産ウォレットの情報を調査（フィンガープリント）する。

• ウォレットの調査が完了すると、攻撃者の管理者が会議に参加する。しかし、表示される管理者の映像は、過去の会議で録画した本物の人物の体の動きに、OpenAIのChatGPTを用いて作成したAI生成の顔写真を合成したディープフェイク映像である。これにより、被害者は見覚えのある人物が会議に参加してきたと錯覚させられる。さらに攻撃者は管理パネルから、マイクの不具合を知らせる偽のメッセージを表示する。そして「Zoom SDKのアップデート」を実行するよう促し、被害者に悪意あるコマンドを実行させるClickFix（クリックフィックス）と呼ばれる手法により、マルウェアに感染させる。

• この攻撃はWindowsとmacOSの両方の基本ソフト（OS）に対応している。Windowsの感染フローでは、コマンド実行によりPowerShell（システム管理やタスク自動化を行うためのスクリプト実行環境）のローダーが起動し、VBScript（Windows上で動作するスクリプト言語）ファイルをダウンロードして実行する。このスクリプトは、セキュリティ機能のWindows Defenderを無効化し、ユーザーフォルダを除外設定に追加した上でDefenderを再起動し、セキュリティ監視からマルウェアを隠蔽する。続いてGoogle ChromeやEdgeなどの主要ブラウザ内からTelegram Webに関連するファイルを特定し、セッション情報を窃取する。

• セッション情報が盗まれると、攻撃者は被害者のアカウントを制御して次の標的に対して同様の会議リンクを送信する。このようにして、1件の感染成功が次の攻撃の踏み台となり、チェーンが自己増殖的に繋がっていく。JUMPSECはZoom版のほか、Microsoft Teamsを偽装したバリアント（派生版）も確認した。Teams版はより洗練されており、絵文字リアクション機能の再現、モバイル端末のブロック、マルウェア配信前の高度なウォレットスキャン機能を備えている。

• BlueNoroffによるビデオ会議ツールを装った攻撃は、2025年初頭から「ClickFake Interview」などの名称でサイバーセキュリティ機関に観測されており、今回の報告は彼らの攻撃キットがさらに進化し、組織的な被害者獲得システムとして実用化されている実態を示している。