北朝鮮のグループが、ZoomとMicrosoft Teamsを模倣した偽リンクを使って暗号資産を保有する個人を標的にしている。攻撃は、信頼できるTelegramアカウントを通じて始まる。標的には、実在の人物のように見せかけたメッセージと共にCalendlyリンクが送信される。このリンクは、ZoomやTeamsに似せた偽ページに誘導し、ウェブカメラのアクセス許可を求める。

ウェブカメラの許可が得られると、ユーザーには自分の映像ではなく、AIで生成され、過去の会議から抽出された動きを合成した動画が表示される。これにより、攻撃者は偽の会議で「本物の参加者」のように振る舞える。同時に、ブラウザにインストールされた暗号資産ウォレット拡張機能がスキャンされ、高価値のターゲットが特定される。

攻撃チェーンには、WindowsとmacOS用に異なるペイロードが含まれる。WindowsではPowerShellとVBScriptを使ってDefenderを無効化し、macOSでは偽のアプリインストーラーを使ってiCloudキーを盗む。すべてのデータは、Telegram上の「Aurora」というチャンネルに送信され、攻撃者のIDは「John」と特定されている。