Hacker Utilizzano una Chiamata Zoom Deepfake per Violare l’Azienda di Criptovalute

I hacker hanno utilizzato una falsa chiamata Zoom con deepfake per violare il sistema Mac di un’azienda di criptovalute e rubare i dati del portafoglio di criptovalute.

Huntress, azienda di sicurezza informatica, ha rilevato un avanzato attacco cibernetico l’11 giugno 2025, quando il loro partner ha segnalato un’attività sospetta da un’estensione Zoom. Un gruppo di hacker sponsorizzato dallo stato nordcoreano, noto come TA444, BlueNoroff o Stardust Chollima, ha condotto un attacco su una fondazione di criptovaluta attraverso videochiamate deepfake e malware personalizzato per Mac.

L’attacco è iniziato settimane prima quando un membro del personale ha ricevuto un inaspettato messaggio su Telegram che lo ha indirizzato a un link di Google Meet. Il link ha reindirizzato l’utente a un falso sito web di Zoom, dove successivamente ha partecipato a una riunione piena di deepfake. Il sistema ha bloccato il loro microfono, così sono stati sollecitati a scaricare una maliziosa estensione per Zoom. Il file AppleScript ‘zoom_sdk_support.scpt’ sembrava innocuo, ma in segreto installava malware in background.

Il malware disattivava la registrazione della cronologia mentre installava Rosetta 2 per la compatibilità del software e poi scaricava ulteriori strumenti, tra cui backdoor, keylogger e ladri di criptovalute. I ricercatori di Huntress hanno rilevato otto file maligni differenti che miravano specificamente agli utenti macOS attraverso tecniche avanzate di iniezione di processi, che sono insolite per i sistemi Apple.

Componenti chiave includevano “Telegram 2”, un impianto persistente che consentiva l’accesso remoto; “Root Troy V4”, un backdoor completo di tutte le funzioni; e “CryptoBot”, progettato per cercare e rubare i dati dei portafogli crittografici dai browser. Gli hacker hanno anche utilizzato avatar deepfake per costruire fiducia e raccogliere password.

La società consiglia alle organizzazioni di essere caute riguardo a inviti urgenti a meeting, cambiamenti dell’ultima ora della piattaforma e richieste di installazione di estensioni sconosciute, specialmente da contatti sconosciuti.