Hackers Utilizan Llamada de Zoom Deepfake para Violar la Seguridad de una Empresa de Criptomonedas

Los hackers utilizaron una falsa llamada de Zoom con deepfakes para violar el sistema Mac de una empresa de criptomonedas y robar datos de la cartera de criptoactivos.

Huntress, una empresa de ciberseguridad, detectó un ciberataque avanzado el 11 de junio de 2025, cuando su socio informó de una actividad sospechosa proveniente de una extensión de Zoom. Un grupo de hackers norcoreanos patrocinado por el estado, conocido como TA444, BlueNoroff o Stardust Chollima, llevó a cabo un ataque a una fundación de criptomonedas a través de videollamadas deepfake y malware personalizado para Mac.

El ataque comenzó semanas antes cuando un miembro del personal recibió un mensaje inesperado de Telegram que los llevó a un enlace de Google Meet. El enlace redirigió al usuario a un sitio web falso de Zoom, donde luego participaron en una reunión llena de deepfakes. El sistema bloqueó su micrófono, por lo que se les solicitó descargar una extensión maliciosa de Zoom. El archivo AppleScript ‘zoom_sdk_support.scpt’ parecía inofensivo, pero secretamente instaló malware en segundo plano.

El malware desactivó el registro de historial mientras instalaba Rosetta 2 para compatibilidad de software, y luego descargó herramientas adicionales, que incluían puertas traseras, registradores de teclas y ladrones de criptomonedas. Los investigadores de Huntress detectaron ocho archivos maliciosos diferentes que apuntaban específicamente a los usuarios de macOS a través de técnicas avanzadas de inyección de procesos, que son inusuales para los sistemas de Apple.

Los componentes clave incluyeron “Telegrama 2”, un implante persistente que permitía el acceso remoto; “Root Troy V4”, una puerta trasera con todas las funciones; y “CryptoBot”, diseñado para buscar y robar datos de billeteras criptográficas de los navegadores. Los hackers también utilizaron avatares deepfake para generar confianza y recopilar contraseñas.

La empresa aconseja a las organizaciones que sean cautelosas con las invitaciones a reuniones urgentes, los cambios de plataforma de último minuto y las solicitudes para instalar extensiones desconocidas, especialmente de contactos desconocidos.