Los hackers BlueNoroff de Corea del Norte usaron videollamadas falsas de Zoom y deepfakes de IA para vulnerar a una empresa cripto y comprometer a más de 100 ejecutivos Web3 en todo el mundo.
Puntos clave
- BlueNoroff se hizo pasar por un abogado fintech, envió una invitación de calendario manipulada y llevó al objetivo a una llamada de Zoom falsa.
- Un truco de portapapeles ClickFix ejecutó PowerShell sin archivos que capturó credenciales y datos de wallets cripto en menos de cinco minutos.
- Metraje robado de la webcam alimentó deepfakes de IA que se hicieron pasar por víctimas anteriores para atraer a la siguiente ronda de objetivos.
BlueNoroff secuestra llamadas de Zoom para drenar wallets
Investigadores de Arctic Wolf rastrearon la intrusión de varios meses hasta BlueNoroff, un brazo financiero de Lazarus Group de Corea del Norte. La campaña golpeó a una empresa Web3 norteamericana el 23 de enero de 2026, y los operadores mantuvieron el acceso en silencio durante 66 días. Haciéndose pasar por un ejecutivo legal en una firma fintech, el atacante envió una invitación de Calendly para una llamada rutinaria de actualización programada cinco meses después.
Después de que el objetivo confirmara, la reserva cambió su enlace de Google Meet por una dirección de Zoom con typo-squatting que parecía casi idéntica a la real. La telemetría mostró después a la víctima haciendo clic en el enlace malicioso tres veces en cuatro minutos, convencida de que el software simplemente fallaba.
También lee: Bitcoin cae por debajo de 59.000 dólares mientras regresan los temores por las tasas de la Fed al cripto
El aviso ClickFix planta PowerShell sin archivos
Dentro de la reunión falsa, una ventana emergente afirmaba que el SDK de Zoom necesitaba una actualización y ofrecía una solución rápida, un engaño conocido como ClickFix. Cuando la víctima copió los comandos proporcionados, la página reescribió silenciosamente el portapapeles e inyectó una carga útil oculta de PowerShell. Ese único pegado dio al atacante un punto de apoyo sin que ningún archivo tocara el disco.
El implante luego se comunicó con un servidor remoto, recopilando inicios de sesión del navegador y datos de wallets cripto, y robó sesiones activas de Telegram que después se reutilizaron para acercarse a nuevos objetivos desde cuentas de confianza. Desde el primer clic hasta el compromiso total del sistema, toda la cadena se ejecutó en menos de cinco minutos, un compromiso inusualmente rápido.
Los deepfakes reciclan víctimas para atrapar nuevos objetivos
Las llamadas falsas resultaban convincentes porque cada recuadro de participante mostraba metraje robado de webcam, fotos generadas por IA o video compuesto deepfake, extraídos de una biblioteca de más de 100 víctimas anteriores en 20 países. Los investigadores vincularon los rostros sintéticos al modelo GPT-4o de OpenAI y rastrearon la edición hasta un operador que dejó el nombre de usuario de macOS «king» en los metadatos. Cada rostro robado alimentaba el siguiente señuelo, de modo que cada brecha hacía que el siguiente ataque fuera más difícil de detectar.
Estados Unidos representó el 41 % de los identificados, con Singapur y el Reino Unido en los siguientes lugares. Aproximadamente el 80 % trabajaba en cripto, finanzas blockchain o roles de inversión relacionados, y fundadores o directores ejecutivos representaban casi la mitad.
BlueNoroff no es nuevo en este oficio. El grupo apareció durante el atraco al Banco de Bangladés de 2016, cuando movió 81 millones de dólares, luego se volcó al cripto mediante su prolongada operación SnatchCrypto. Esta campaña muestra que el mismo manual ahora funciona con IA, elevando el listón para cada equipo cripto que intenta defenderse.
Lee a continuación: AAVE supera a Bitcoin mientras regresa la narrativa de préstamos DeFi