ההודעה מגיעה מאיש קשר שאתם מכירים. מישהו מעולם הקריפטו שכבר דיברתם איתו, אולי אפילו סגרתם איתו עסקה. הוא מציע שיחת Zoom, שולח קישור, ואתם מצטרפים. הנורית של המצלמה נדלקת. בצד השני יושב אדם שנראה מוכר, מדבר, זז, מהנהן כשאתם מדברים. רק שזה לא איש הקשר שלכם, וגם לא אדם אמיתי שיושב מול מצלמה. זה סרטון ערוך מראש שהתוקף מזרים לשיחה כאילו הוא צילום חי.

חוקר האבטחה Sean Moran מחברת JUMPSEC פרסם ב-24 ביולי ניתוח מפורט של ערכת תקיפה שלמה, שמאחוריה עומדת ברמת ודאות גבוהה קבוצת BlueNoroff הצפון קוריאנית. הערכה הזאת אורזת יחד כמה דברים שבדרך כלל מופיעים בנפרד: חשבונות Telegram גנובים של אנשי אמון, שיחת וידאו מזויפת עם דמות שנראית אמיתית, בדיקה שקטה של ארנקי הקריפטו שמותקנים בדפדפן שלכם, ורק בסוף, נוזקה. בהמשך נראה איך כל חלק עובד, ולמה השרשרת הזאת מסוכנת יותר מפישינג רגיל.

מי הם BlueNoroff, ולמה דווקא קריפטו

BlueNoroff, שמופיעה בדוחות גם בשם TA444, היא תת-קבוצה של Lazarus, מערך התקיפה של צפון קוריאה. בעוד חלקים אחרים של Lazarus עוסקים בריגול קלאסי, ל-BlueNoroff יש משימה צרה וברורה: להביא כסף. מאז 2017 הקבוצה מתמחה בגניבת מטבעות דיגיטליים, וקמפיין קודם שתועד תחת השם SnatchCrypto כבר תיאר את אותה גישה, פנייה לאנשי מפתח בתעשייה דרך זהויות מזויפות או גנובות.

היעד הפעם הוא לא שרת ולא בורסה. זה האדם עצמו. Moran מסביר את ההיגיון: "ככל שעולם ה-Web3 והנכסים הדיגיטליים מתבגר, תוקפים מבינים יותר ויותר שפגיעה באנשים ששולטים בגישה יכולה להיות בעלת ערך כמו תקיפה של התשתית עצמה". הקורבנות הם בכירים בחברות קריפטו והון סיכון, אנשים שמנהלים נכסים אמיתיים ולעיתים יש להם אלפי עוקבים. בישראל, עם קהילת סטארטאפים וקרנות שקשורה היטב לעולם הזה, זה בדיוק הפרופיל של לא מעט אנשים.

הבחירה בפלטפורמה מכוונת גם היא. הערכה תומכת ב-Zoom וב-Teams, ובקוד נמצא רכיב שלישי, ל-Google Meet, שהוכן אך הושאר מכוון מנוטרל. Moran מסביר למה: "Zoom ו-Teams הם ברירת המחדל של הרבה אנשי קריפטו, הון סיכון ומייסדים בעולם הפיננסי, בעוד Google Meet מרגיש יותר פלטפורמה לשיחות עם לקוחות מאשר לשיחת השקעה או שותפות". הפרטים האלה הם ההבדל בין הזמנה שנראית טבעית לבין אחת שמעוררת חשד.

הפרצוף בשיחה הוא לא של אף אחד

הרעיון שהתוקף פשוט יצלם את עצמו לא היה עובד, כי הקורבן מצפה לראות פרצוף מסוים, של איש הקשר שהזמין אותו. אז הקמפיין בונה את הפרצוף הזה. לפי JUMPSEC, התוקפים מייצרים תמונות פנים בעזרת ChatGPT, ומרכיבים אותן על תנועות גוף אמיתיות שצולמו מקורבנות קודמים. התוצאה משודרת לשיחה דרך mediasoup, ספריית WebRTC לשידור וידאו, כאילו מדובר במצלמה חיה. "הווידאו שהקורבן רואה אינו המצלמה החיה של המפעיל. זה סרטון ערוך מראש שהמפעיל מזרים אל תעבורת ה-WebRTC כאילו הוא חי", נכתב בדוח.

יש כאן לולאה לא נעימה. כל קורבן שמצטרף לשיחה מספק בעצמו חומר גלם, תנועות גוף ותאורה, שישמש להרכבת הדמות הבאה. ככל שהקמפיין רץ, הזיופים נעשים משכנעים יותר. ובזמן שאתם מסתכלים על הדמות המוכרת, המצלמה שלכם כבר משדרת בשקט בחזרה אל המפעילים.

למה חשוב להם איזה ארנק מותקן אצלכם

עוד לפני שמגיעה נוזקה כלשהי, עמוד הפגישה המזויף כבר עושה עבודה. הוא סורק את הדפדפן ומחפש הרחבות של ארנקי קריפטו. הבדיקה נעשית בשתי דרכים במקביל: תקן חדש בשם EIP-6963, שנועד לאפשר לאתרים לזהות ארנקים מותקנים, לצד בדיקה של המשתנה הישן window.ethereum ושל ארנקים שאינם מבוססי Ethereum כמו Solana. הרשימה נשלחת בשקט אל לוח הבקרה של התוקף.

למה לטרוח? כי זה מאפשר מיון. מי שאין לו ארנק מעניין לא שווה את הסיכון של הפעלת נוזקה, שעלולה להתגלות ולשרוף את התשתית. מי שיש לו MetaMask עם יתרה רצינית, לעומת זאת, מקבל את המשך הטיפול. השלב הזה בודק הרחבות במגוון רחב של דפדפנים, בהם Chrome על גרסאותיו, Edge, Brave, Opera, Vivaldi ו-Firefox. זו לא סתם פישינג, זו מכונת סינון שמחליטה מראש על מי כדאי לבזבז את השלב הבא.

הרגע שבו אתם מתקינים את הנוזקה בעצמכם

כאן נכנסת לתמונה טכניקה בשם ClickFix, ששמה את הקורבן במושב הנהג. באמצע ה"שיחה" מופיעה הודעה שנראית תמימה: המיקרופון לא עובד, או שצריך לבצע עדכון SDK של Zoom. כדי לעזור, העמוד מחליף בשקט את תוכן הלוח (clipboard) של הקורבן בפקודה זדונית. אתם חושבים שאתם מדביקים הוראה שקיבלתם, ובפועל מריצים סקריפט PowerShell של התוקף.

מכאן זה מהיר. טוען ה-PowerShell, קטן מ-600 בתים, מוריד קובץ VBScript מהשרת ומריץ אותו. אחת הפעולות הראשונות שלו היא להוסיף את כל תיקיית C:\\Users לרשימת החריגים של Windows Defender, כך שהקבצים שיירדו בהמשך לא ייסרקו. רק אחרי שהדרך נוקתה מגיע המטען האמיתי. שרשרת שכל שלב בה מכין את הקרקע לבא אחריו, בלי שהקורבן מבחין בכלום מלבד "עדכון" שמתעכב.

שתי מערכות, שתי שרשראות

הקמפיין לא מהמר על סוג מחשב אחד. יש לו שרשרת מותאמת ל-Windows ואחת ל-macOS.

ב-Windows, ה-VBScript מזוהה על ידי מנועי אנטי-וירוס כ-Trojan.NukeSped, דלת אחורית מוכרת של Lazarus. הוא אוסף פרטי מערכת, פותח ערוץ שליטה מול השרת, ויכול להריץ פקודות נוספות בזיכרון או להוריד קבצים לדיסק. אבל החלק המעניין הוא מה שהוא מחפש: סימנים לכך שהקורבן משתמש ב-Telegram Web בדפדפן. אם כן, הנוזקה גונבת את ה-session של ה-Telegram, וזה מה שסוגר את המעגל. עם החשבון החטוף אפשר לשלוח לאנשי הקשר של הקורבן בדיוק את אותה הזמנה לשיחה. "כל קורבן שמריץ את המטען כשה-Telegram פתוח הוא מועמד לכך שה-session שלו ייגנב וישמש נגד אנשי הקשר שלו עצמו", מציינים החוקרים.

ב-macOS השרשרת שונה בפרטים אך זהה בהיגיון. סקריפט קטן, שברגע פרסום הדוח לא זוהה כלל על ידי מנועי הסריקה, מוריד מתקין מזויף של Teams או Zoom שמעסיק את הקורבן, בזמן שברקע רץ המטען האמיתי. השלב הבא הוא כלי גניבה שמכוון אל מפתח ההצפנה הראשי של Chrome, זה ששומר את הסיסמאות במחשב. הוא מחלץ אותו מה-Keychain של macOS ומוציא את השלל החוצה דרך בוט Telegram, עם פרטי גישה מוטמעים בקוד, אל ערוץ שהתוקפים קראו לו Aurora.

מעבר לפרטים, יש כאן סיפור על קבוצה שעובדת מהר. JUMPSEC סופרים חמש גרסאות של הערכה בין 31 במאי ל-14 ביולי, פחות משישה שבועות, כולל שכלולים קטנים בניסוח ההוראות לקורבן ותוספת של תמיכה ב-Teams לצד Zoom. כל התשתית ישבה על ספק אירוח יחיד, Cloudzy, שכבר תועד בעבר כמארח של תשתיות תקיפה איראניות וצפון קוריאניות, וזיהוי הנוזקה כ-NukeSped חיזק את הקישור ל-Lazarus. אותה שרשרת דיווח, בגרסה מוקדמת יותר, כבר תוארה גם על ידי The Hacker News.

מה זה אומר בפועל

אם אתם עובדים בקריפטו, בהון סיכון או בפינטק, זה הקהל שהקמפיין הזה מחפש. שלוש נקודות שוות כאן זהב. ראשית, פרצוף מוכר בשיחת וידאו כבר אינו הוכחה לכלום, ואימות זהות של מי שמבקש פעולה רגישה צריך לעבור בערוץ נפרד שאתם יזמתם. שנית, שום שיחת Zoom או Teams לגיטימית לא תבקש מכם להעתיק פקודה ולהריץ אותה כדי "לתקן" משהו, בקשה כזאת היא ההתקפה עצמה. ושלישית, כשמגיעה הזמנה מפתיעה מאיש קשר מוכר, שווה לוודא איתו בערוץ אחר שהוא באמת שלח אותה, כי החשבון שממנו הגיעה ההודעה עשוי כבר להיות בידי מישהו אחר.