セキュリティ企業JUMPSECは7月、北朝鮮系ハッキンググループBlueNoroffが運用する偽Zoom攻撃キットのJavaScriptソースコードを分析し、暗号資産（仮想通貨）ウォレットの利用者を事前に見分けてからマルウェアを配信する仕組みを明らかにしました。
確認されたのはZoom版とTeams版の2種類で、Google Meet向けの未実装コードも含まれていました。
ソースマップファイルが削除されていなかったため、難読化前の構造まで復元できたといいます。Web3企業の幹部や投資家が主な標的とみられます。
JUMPSECは、2026年5月31日から7月14日ごろにかけて少なくとも5つのバージョンを確認しました。
攻撃キットは継続的に更新されている可能性があり、単発ではなく改良が重ねられてきた実態がうかがえます。
攻撃の入口は、Telegramで接触した相手にCalendly経由の会議招待を送りつける手口です。
被害者が案内されたリンクを開くと、ZoomやTeamsを装った偽ドメインに誘導され、そこで会議画面らしい映像が表示されます。
映像には事前録画やディープフェイクが使われ、信頼できる業界関係者との打ち合わせに見せかける構成になっていました。
JUMPSECのショーン・モラン氏は、攻撃者が信頼できる業界関係者の動画を収集し、次の標的に使う攻撃映像を再利用する循環的な仕組みを構築していると説明しています。
過去の被害者から得たウェブカメラ映像を基に、AIを使って生成した顔画像を合成したケースも確認されました。
会議前のウォレット調査と偽SDK更新による感染誘導
今回の分析で特徴的だったのは、マルウェア配信の前段でブラウザウォレットの有無を調べる機能です。
キットはEIP-6963標準と従来のブラウザ検出手法の両方を使い、Ethereum系ウォレット接続を探索します。
攻撃者はここで被害者を事前にプロファイリングし、暗号資産を扱う可能性が高い相手を優先して狙っていた可能性があります。
これは、会議リンクを踏んだ全員に同じ不正プログラムをばらまく方式とは異なります。
ウォレット保有者を見極めてから感染を進めるため、Web3業界の実務担当者や投資家ほど危険が高くなるとみられます。
ブラウザ拡張型ウォレットの利用が広い業界ほど、この種の事前選別は攻撃効率を押し上げます。
会議参加後は、数秒から5分以内にマイクの不具合が起きたように見せかけ、「Zoom SDKの更新」が必要だと表示します。
被害者が案内に従うと、ClickFixの仕組みでPowerShellコマンドがクリップボードに置き換えられ、自ら端末で実行するよう誘導されます。
感染チェーンはWindowsとmacOSの両方に対応していました。
読者にとって重要なのは、防御の起点がメールの添付ファイルではなく、会議調整とビデオ通話という日常業務の流れに組み込まれている点です。
不審なCalendly招待、見慣れないZoomやTeamsのドメイン、会議中に表示されるSDK更新要求は、その場で操作を止めるべき兆候になります。
JUMPSECの分析は、暗号資産業界を狙う攻撃が、ウォレット利用者である可能性を見極めたうえで実行される段階に入っていることを示しました。
参考元：Jumpsec
画像：Shutterstock
