Nordkoreanische Hacker fälschen Zoom-Meetings, um Kryptowährungen zu stehlen, mit einem Gesamtschaden von über 300 Millionen US-Dollar

Netzwerksicherheitsbehörden haben bekannt gegeben, dass nordkoreanische Cyberkriminelle durch Social-Engineering-Angriffe mit „Fake Zoom / Fake Teams Meetings“ große Mengen an Kryptowallet-Assets stehlen, wobei die Gesamtschäden bereits 300 Millionen US-Dollar übersteigen. Das Sicherheitsunternehmen Security Alliance (SEAL) berichtet, dass derzeit fast täglich mehrere entsprechende Angriffe verfolgt werden können, wobei Akteure der Krypto-Branche und aktive Nutzer zu den Hauptzielen gehören.

Diese Angriffsmethode wurde erstmals von MetaMask-Sicherheitsforscher Taylor Monahan offenbart. Sie weist darauf hin, dass nordkoreanische Hacker durch hochgradig realistische Online-Meeting-Szenarien die Opfer kontinuierlich dazu verleiten, schädliche Software zu installieren, um private Schlüssel, Passwörter und interne Sicherheitsinformationen direkt zu erlangen und die Krypto-Wallets schnell zu leeren.

Aus Sicht des Angriffsablaufs beginnt dieser meist in Telegram-Gruppen. Die Hacker geben sich als „Bekannte“ der Opfer aus, senden Nachrichten an deren Kontakte und verschicken Einladungen zu Zoom-Meetings über gängige Tools wie Calendly. Nach Beginn des Meetings sehen die Opfer Videos von „Bekannten“ und „Teammitgliedern“, wobei es sich tatsächlich um vorab aufgezeichnete echte Videos handelt, nicht um einfache Deepfakes.

Während des Gesprächs führen die Hacker die Opfer mit Argumenten wie „Audioaussetzer“ oder „unscharfe Verbindung“ dazu, sogenannte Patch-Dateien oder SDK-Updates herunterzuladen. Diese Dateien sind in Wirklichkeit schädliche Programme, meist Remote-Access-Trojaner (RAT). Nach der Installation können die Angreifer das Gerät aus der Ferne kontrollieren, Anmeldedaten, private Schlüssel stehlen und Kryptowallets schnell transferieren.

Sicherheitsexperten betonen, dass dies eine Strategie-Upgrade der nordkoreanischen Hacker im Bereich der Krypto-Kriminalität darstellt. Zuvor waren Hackergruppen wie die berüchtigte Lazarus-Gruppe vor allem auf Angriffe auf Börsen, Phishing-Websites oder gefälschte Stellenanzeigen spezialisiert. Kürzlich haben sie sich jedoch deutlich auf „Social Engineering-Angriffe mit hohem Vertrauensgrad“ umgestellt, die höhere Erfolgsquoten versprechen.

Vor kurzem wurde die Lazarus-Gruppe auch beschuldigt, Angriffe auf die größte Kryptowährungsbörse Südkoreas geplant zu haben, bei denen etwa 30,6 Millionen US-Dollar gestohlen wurden. Verschiedene Quellen schätzen, dass der weltweite Umfang von Krypto-Diebstählen bis Mitte 2025 auf 2,17 Milliarden US-Dollar ansteigen könnte, wobei persönliche Wallets die anfälligste Schwachstelle darstellen.

Branchenexperten warnen, dass bei Aufforderungen zum Herunterladen von Patches oder Tools während Video-Meetings sofort das Meeting abgebrochen, das Netzwerk getrennt und das Gerät ausgeschaltet werden sollte. Zudem sollten Wallet-Assets transferiert und Sicherheitsüberprüfungen durchgeführt werden, um potenzielle Verluste zu minimieren.