กลุ่มแฮ็กเกอร์ BlueNoroff ของเกาหลีเหนือใช้วิดีโอคอล Zoom ปลอมและดีพเฟก AI เจาะบริษัทคริปโตและล้วงข้อมูลผู้บริหาร Web3 ทั่วโลกกว่า 100 ราย
ประเด็นสำคัญ
- BlueNoroff ปลอมเป็นทนายฟินเทค ส่งคำเชิญปฏิทินที่ถูกดัดแปลง และล่อเหยื่อให้เข้า Zoom ปลอม
- กลโกง ClickFix ผ่านคลิปบอร์ดรัน PowerShell แบบไร้ไฟล์ ยึดข้อมูลล็อกอินและกระเป๋าคริปโตได้ภายในไม่ถึงห้านาที
- วิดีโอกล้องเว็บแคมที่ถูกขโมยถูกนำไปสร้างดีพเฟก ปลอมเป็นเหยื่อเก่าเพื่อล่อเหยื่อรายถัดไป
BlueNoroff ไฮแจ็กคอล Zoom เพื่อดูดเงินจากกระเป๋าคริปโต
นักวิจัยจาก Arctic Wolf ติดตาม การบุกรุกที่ยืดเยื้อนานหลายเดือนกลับไปถึง BlueNoroff ซึ่งเป็นแขนงที่มุ่งโจมตีด้านการเงินของ Lazarus Group เกาหลีเหนือ แคมเปญนี้โจมตีบริษัท Web3 ในอเมริกาเหนือเมื่อวันที่ 23 มกราคม 2026 และผู้โจมตียึดการเข้าถึงเงียบ ๆ ไว้ได้นาน 66 วัน โดยปลอมตัวเป็นผู้บริหารฝ่ายกฎหมายของบริษัทฟินเทค ผู้โจมตีได้ ส่ง คำเชิญผ่าน Calendly สำหรับสายประชุมอัปเดตงานตามปกติที่ถูกจองล่วงหน้าถึงห้าเดือน
หลังเหยื่อยืนยันการนัดแล้ว ลิงก์ Google Meet ในการจองถูกสลับเป็นที่อยู่ Zoom ปลอมที่สะกดคล้ายของจริงมาก ข้อมูลเทเลเมทรีแสดงให้เห็นว่าเหยื่อคลิกลิงก์อันตรายนั้นสามครั้งในสี่นาที เพราะคิดว่าโปรแกรมขัดข้อง
อ่านเพิ่มเติม: บิตคอยน์ร่วงต่ำกว่า 59,000 ดอลลาร์ เมื่อความกังวลดอกเบี้ยเฟดหวนกลับสู่ตลาดคริปโต
กลโกง ClickFix ฝัง PowerShell แบบไร้ไฟล์
ภายในห้องประชุมปลอม ป๊อปอัพอ้างว่าต้องอัปเดต Zoom SDK และมีตัวเลือกให้แก้ไขด่วน ซึ่งเป็นกลอุบายที่เรียกว่า ClickFix เมื่อเหยื่อคัดลอกคำสั่งที่ให้มา หน้าเว็บจะ เขียนทับ ข้อความในคลิปบอร์ดแบบเงียบ ๆ และฉีดเพย์โหลด PowerShell ที่ถูกซ่อนไว้ การวาง (paste) ครั้งเดียวก็ทำให้ผู้โจมตีได้จุดยึดในระบบ โดยไม่ต้องมีไฟล์ใดถูกบันทึกลงดิสก์เลย
จากนั้นมัลแวร์จะติดต่อเซิร์ฟเวอร์ระยะไกล ดึงข้อมูลล็อกอินบนเบราว์เซอร์และข้อมูลกระเป๋าคริปโต และยัง ขโมย เซสชัน Telegram ที่กำลังใช้งาน เพื่อนำไปใช้ติดต่อเหยื่อรายใหม่ผ่านบัญชีที่เหยื่อเชื่อถือ ตั้งแต่การคลิกครั้งแรกจนถึงเข้าควบคุมระบบเต็มรูปแบบ ทั้งกระบวนการใช้เวลาไม่ถึงห้านาที ถือว่าเร็วผิดปกติ
ดีพเฟกรีไซเคิลเหยื่อเก่าเพื่อล่อเหยื่อรายใหม่
การโทรปลอมเหล่านี้ดูน่าเชื่อถือ เพราะในกรอบวิดีโอของผู้เข้าร่วมแต่ละคน แสดง เป็นวิดีโอกล้องเว็บแคมที่ถูกขโมย ภาพใบหน้าที่สร้างด้วย AI หรือวิดีโอผสมแบบดีพเฟก ซึ่งถูกดึงมาจากคลังของเหยื่อกว่า 100 รายใน 20 ประเทศ นักสืบไซเบอร์เชื่อมโยงใบหน้าเสมือนเหล่านี้กับโมเดล GPT-4o ของ OpenAI และตามรอยการตัดต่อไปถึงผู้ปฏิบัติการรายหนึ่งที่เผลอทิ้งชื่อผู้ใช้ macOS ว่า "king" ไว้ในข้อมูลเมทาดาทา ใบหน้าที่ถูกขโมยแต่ละใบจะถูกนำไปใช้ในล่อครั้งถัดไป ทำให้ทุกการเจาะระบบยิ่งทำให้การโจมตีรอบหน้าแยกแยะได้ยากขึ้น
สหรัฐอเมริกาคิดเป็น 41% ของเหยื่อที่ระบุได้ ตามมาด้วยสิงคโปร์และสหราชอาณาจักร ราว 80% ทำงานด้านคริปโต ไฟแนนซ์บล็อกเชน หรือบทบาทการลงทุนใกล้เคียง และผู้ก่อตั้งหรือซีอีโอคิดเป็นเกือบครึ่งหนึ่ง
BlueNoroff ไม่ใช่มือใหม่ในสายนี้ กลุ่มนี้ โผล่ขึ้นมา ครั้งแรกช่วงการปล้นธนาคารบังกลาเทศปี 2016 ที่สามารถเคลื่อนย้ายเงิน 81 ล้านดอลลาร์ จากนั้นจึงหันมาเล่นงานคริปโตผ่านปฏิบัติการ SnatchCrypto ที่ยืดเยื้อมายาวนาน แคมเปญล่าสุดนี้แสดงให้เห็นว่า “ตำราการโจมตีเล่มเดิม” ถูกยกระดับด้วย AI แล้ว ยิ่งเพิ่มความยากให้ทุกทีมคริปโตที่ต้องป้องกันตัวเอง
อ่านต่อ: AAVE ทำผลงานดีกว่าบิตคอยน์ เมื่อกระแสการปล่อยกู้ DeFi กลับมาอีกครั้ง