Grup peretas BlueNoroff dari Korea Utara kini memakai undangan Zoom dan Microsoft Teams palsu untuk memprofil pengguna kripto. Mereka memindai ekstensi dompet di browser korban sebelum mengirimkan malware.
Firma keamanan siber JUMPSEC membongkar kode sumber dari kit phishing ini. Operator serangan tak sengaja mengekspos source maps JavaScript di infrastruktur yang menyala. Dari situ terungkap bahwa serangan kerap bermula dari akun Telegram yang sudah dipercaya korban. Peretas membajak akun milik kontak kripto, lalu mengirim undangan Calendly menuju domain rapat palsu.
Begitu target masuk ke halaman rapat tiruan, sistem langsung memindai browser untuk mencari koneksi dompet Ethereum lewat standar EIP-6963 dan metode lama, serta dompet non-EVM termasuk Solana. Hasil pemindaian ini langsung masuk ke panel operator tanpa disadari korban.
Kenapa Harus Mengintai Isi Dompet
Dari panel itu, operator bisa mengenali dompet bernilai tinggi sebelum meneruskan peretasan. Di Windows, mereka mendaftar ID ekstensi di Chrome, Edge, Brave, Opera, Vivaldi, dan Firefox, lalu mencocokkannya dengan ekstensi populer seperti MetaMask. JUMPSEC menyebut taktik memprofil dompet sebelum pengiriman malware ini berbeda jauh dari phishing massal biasa.
Layar korban menampilkan halaman meyakinkan yang meminta nama dan akses kamera web, sementara aliran videonya masuk ke panel penyerang. Saat korban bergabung, layar beralih ke tulisan menunggu peserta lain. Operator lalu masuk membawa video siap putar, menegur mikrofon korban yang mati, lalu memicu permintaan pembaruan Zoom SDK palsu.
Video lawan bicara itu bukan siaran langsung, melainkan wajah buatan AI yang ditempel pada gerakan tubuh dari rapat lain. Versi tiruan Teams dirancang lebih rumit dengan reaksi emoji, pengaturan perangkat, efek latar belakang, dan pengecekan dompet yang lebih luas. Di dalam kode yang sama, JUMPSEC juga menemukan modul Google Meet yang belum rampung.
📌 Baca JugaBinance Retas Karyawannya Sendiri Tiap Bulan - Sering Gagal Bisa Berujung Pemecatan
Satu Klik yang Berakibat Fatal
Jika korban menekan tombol pembaruan di Windows, perintah ClickFix menjalankan PowerShell loader, mengunduh VBScript, memanipulasi pengecualian Microsoft Defender, dan memulai ulang antivirus itu. Di macOS, sistem mengunduh installer palsu sementara program pencuri berjalan di latar belakang demi merampas informasi sistem dan kunci utama Chrome dari Apple Keychain.
JUMPSEC menemukan empat varian macOS antara 22 April hingga 15 Juli, bukti bahwa operator rajin memperbarui persenjataan mereka. Data Arctic Wolf bulan April lalu menemukan lebih dari 80 domain tiruan dengan 100 target sasaran. Sekitar 80% dari target itu berkarir di industri kripto, blockchain, dan investasi terkait, sementara 45% di antaranya menjabat pendiri atau CEO.
Bagi Anda yang beraktivitas di industri ini, biasakan memverifikasi undangan rapat yang ganjil lewat jalur lain. Jangan meladeni instruksi pembaruan perangkat saat panggilan berlangsung, dan segera cabut sesi Telegram yang terekspos. Peretas kini tidak asal menebar jaring; mereka mengintip seberapa tebal dompet Anda sebelum melempar pancing.
Dilansir dari crypto.news.
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
