這是一場由北韓駭客組織 BlueNoroff 發起的極其複雜的社交工程攻擊。對於初入行的工程師來說，最需要關注的不是單一的惡意程式碼，而是他們如何將信任關係、AI 技術與自動化偵察結合，建構出一套完整的受害者獲取流水線。
這場攻擊的核心在於濫用信任。攻擊者並非隨機發信，而是先入侵加密貨幣領域中具有影響力的 Telegram 帳號，利用受害者原本就信任的聯繫人發送偽造的 Calendly 會議預約連結。這種以信任為跳板的攻擊方式，讓後續的釣魚頁面具有極高的欺騙性。
攻擊流程與技術細節
當受害者點擊連結後，會進入一個偽裝成 Zoom 或 Microsoft Teams 的釣魚網站。這裡運用了 Typosquatting 技術，即註冊與官方網址極其相似的域名，讓使用者在視覺上難以分辨。
進入頁面後，攻擊者會要求使用者開啟視訊鏡頭權限。一旦同意，系統會透過 WebRTC 技術將受害者的即時影像偷偷傳回後台。此時，受害者會看到一個等待室畫面，顯示其他參與者尚未加入。
最令人驚訝的是，隨後加入會議的所謂管理員，其實是一段預錄影片。攻擊者利用 OpenAI ChatGPT 生成 AI 臉孔，並將其疊加在之前從其他受害者那裡偷拍到的真實肢體動作上。這種 AI 偽裝讓受害者感覺對方是一個真實且自然的人，極大降低了警覺心。
精準打擊：錢包偵測與 ClickFix 陷阱
在受害者等待的過程中，釣魚套件會在背景對瀏覽器進行 Fingerprinting 瀏覽器指紋識別。它會掃描受害者安裝的所有擴充功能，特別是像 MetaMask 這樣的加密貨幣錢包。如果偵測到高價值錢包，攻擊者才會啟動最終的攻擊階段。
攻擊者會發送偽造的消息，告知受害者的麥克風或視訊有問題，並引導其執行所謂的 Zoom SDK 更新。這就是 ClickFix 類型的攻擊模式，誘導使用者複製並執行一段惡意指令。
針對不同作業系統的攻擊路徑
在 Windows 環境下，惡意指令會執行 PowerShell 載入器，進而執行 VBScript。其目的在於禁用 Microsoft Defender 並將使用者資料夾設為排除路徑，使後續操作不被偵測。隨後，它會搜尋瀏覽器設定檔，嘗試竊取 Telegram 的 Session Cookies，讓攻擊者能直接接管帳號，將此帳號再次用來攻擊該受害者的聯絡人，形成自我傳播的惡性循環。
在 macOS 環境下，攻擊者會下載一個偽造的 Teams 或 Zoom 安裝程式。該程式實際上是一個資訊竊取工具，會提取系統元數據以及從 iCloud Keychain 中獲取 Chrome 的主金鑰，並透過 Telegram Bot 將資料回傳給攻擊者。
為什麼選擇 Zoom 與 Teams 而非 Google Meet？
根據安全研究分析，這是一個策略性的選擇。首先，ClickFix 的騙術需要一個重量級的桌面客戶端作為藉口（例如 SDK 更新），而 Google Meet 是純瀏覽器導向，無法以此名義誘導安裝。其次，在金融與加密貨幣圈，Zoom 和 Teams 是正式商務會議的主流，而 Google Meet 給人的感覺較像一般客戶通話。最後，Zoom 複雜的子域名結構讓偽造域名更容易混淆視聽。
實務啟示與防禦重點
這起事件告訴我們，單純的防火牆或防毒軟體已不足夠。攻擊者現在將身份認證、人際關係與通訊管道視為突破口。
身為工程師或系統管理員，應意識到即便訊息來自信任的對象，只要涉及執行不明指令或下載非官方渠道的更新，都必須極其小心。對於企業而言，強化身份驗證（MFA）以及對異常瀏覽器擴充功能的監控，將是對抗這類精準打擊的重要防線。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。