Eine aktuelle Analyse von Arctic Wolf Labs zeigt, wie Angreifer mithilfe von KI-generierten Inhalten, gestohlenen Videodaten und täuschend echten Meeting-Umgebungen gezielt Führungskräfte aus der Krypto- und Finanzbranche kompromittieren. Die Kampagne wird mit hoher Wahrscheinlichkeit der Gruppe BlueNoroff zugeschrieben.
Foto: Arctic Wolf
Ein Teil der über 950 gestohlenen Bilder und Videos früherer Opfer, die Arctic Wolf auf der Hosting-Infrastruktur der Angreifer identifiziert hat. Diese wurden vermutlich als Ausgangsmaterial für Deepfakes und/oder als Köder für zukünftige Angriffe verwendet. (Zum Schutz der Betroffenen wurden die Bilder verpixelt und Namen geschwärzt.)
Die Angriffsmethoden im Bereich Cyberkriminalität entwickeln sich zunehmend in Richtung glaubwürdiger, mehrstufiger Täuschungsszenarien. Eine aktuelle Untersuchung von Arctic Wolf Labs dokumentiert eine Kampagne, bei der Angreifer gezielt Führungskräfte aus der Web3- und Kryptowährungsbranche über gefälschte Videokonferenzen kompromittieren. Die Analyse beschreibt eine Kombination aus Social Engineering, technischer Raffinesse und wiederverwendeten kompromittierten Inhalten, die eine neue Qualität in der Angriffsdurchführung erkennen lässt.
Die untersuchte Kampagne basiert auf einer mehrstufigen Angriffskette, die bereits Monate vor der eigentlichen Kompromittierung beginnt. Angreifer kontaktieren Zielpersonen über manipulierte Kalendereinladungen, häufig unter Verwendung etablierter Tools wie Calendly. Die eigentliche Angriffsausführung erfolgt erst deutlich später – im analysierten Fall rund fünf Monate nach dem Erstkontakt.
Im entscheidenden Moment erhalten die Zielpersonen einen scheinbar legitimen Link zu einem Zoom- oder Microsoft-Teams-Meeting. Tatsächlich handelt es sich um sogenannte typo-squattete Domains, die legitimen URLs täuschend ähnlich sehen. Nach dem Klick werden Opfer in eine vollständig simulierte Meeting-Umgebung geleitet.
Bemerkenswert ist die Geschwindigkeit der Kompromittierung: Laut Analyse erfolgt diese innerhalb von weniger als fünf Minuten nach Interaktion mit dem manipulierten Link.
Ein zentrales Element der Kampagne ist die Kombination unterschiedlicher Medienquellen zur Simulation realistischer Meetings. Die Angreifer nutzen dabei drei Arten von Inhalten: echte Webcam-Aufnahmen früherer Opfer, KI-generierte Profilbilder sowie daraus abgeleitete Deepfake-Videos.
Die Untersuchung von über 950 Dateien aus der Angreiferinfrastruktur zeigt eine strukturierte Produktionspipeline. KI-generierte Porträts werden mit realen Bewegungsdaten kombiniert, um täuschend echte Video-Teilnehmer zu erzeugen. Parallel dazu werden gestohlene Videoaufnahmen direkt wiederverwendet, um bekannte Gesichter in neuen Angriffen einzusetzen.
Diese Wiederverwertung kompromittierter Inhalte erhöht die Glaubwürdigkeit der Angriffe erheblich. Zielpersonen sehen vermeintlich bekannte Kontakte in den Meetings, was die Wahrscheinlichkeit einer Interaktion deutlich steigert.
Was das Opfer sieht, wenn es dem gefälschten Meeting beitritt. Die anderen „Teilnehmer“ können gestohlene und exfiltrierte Webcam-Videos anderer Opfer, KI-generierte Avatare oder eine Kombination aus beidem sein. (Die Gesichter wurden zum Schutz der Identitäten verpixelt.) - Foto: Arctic Wolf
Die Analyse zeigt eine präzise Auswahl der Zielpersonen. Rund 80 Prozent der identifizierten Targets stammen aus dem Kryptowährungs- oder Finanzumfeld. Besonders auffällig: 45 Prozent der Zielpersonen sind CEOs oder Gründer.
Insgesamt befinden sich 76 Prozent der Opfer in Führungspositionen oder im C-Level. Diese Fokussierung deutet auf ein klares operatives Ziel hin: Zugriff auf Kryptowerte, Wallet-Infrastrukturen oder Investitionsentscheidungen.
Geografisch ist die Kampagne global ausgerichtet. Die identifizierten Zielpersonen verteilen sich auf mehr als 20 Länder, mit einem Schwerpunkt in den USA (41 Prozent), gefolgt von Singapur und dem Vereinigten Königreich.
Die technische Analyse der Infrastruktur zeigt eine hohe Skalierung der Kampagne. Zwischen Ende 2025 und März 2026 wurden über 80 typo-squattete Domains für Zoom- und Teams-Dienste registriert. Diese Domains waren auf derselben Infrastruktur gehostet.
Zeitstempelanalysen weisen darauf hin, dass die Aktivitäten der Angreifer überwiegend während regulärer Arbeitszeiten in Nordkorea stattfinden. Dieses Muster deckt sich mit bekannten Vorgehensweisen staatlich unterstützter Gruppen.
Zusätzliche technische Indikatoren – darunter identische Social-Engineering-Methoden, Code-Überschneidungen und Infrastrukturmuster – stützen die Zuordnung zu BlueNoroff mit hoher Wahrscheinlichkeit.
