大家好，我是AI紫队安全研究。建议大家把公众号“AI紫队安全研究”设为星标，否则可能就无法及时看到啦！因为公众号只对常读和星标的公众号才能大图推送。操作方法：先点击上面的“AI紫队安全研究”，然后点击右上角的【...】,然后点击【设为星标】即可。
关注视频号 “AI紫队安全研究” 不定期周五晚上10点直播。
导语
比普通钓鱼可怕100倍的国家级社工攻击来了！安全厂商JUMPSEC深挖朝鲜Lazarus旗下BlueNoroff（蓝诺夫） 全套钓鱼源码，完整曝光一套流水线式诈骗平台：先劫持行业大佬Telegram账号，以线下见面为借口发送高仿Zoom/Teams会议链接，进入假会议后用AI真人视频获取信任，再通过ClickFix剪贴劫持诱导你粘贴恶意命令，Windows/mac双平台全盘窃取加密钱包、账号密钥，中招者多为区块链创始人、VC从业者。
这套工具连受害者摄像头都会实时回传，还能自动扫描浏览器钱包插件筛选高价值目标，普通杀毒、URL拦截几乎全部失效，Web3、金融从业者务必全文看完！
一、幕后团伙：只为窃取加密资产的国家级APT——BlueNoroff
BlueNoroff隶属于朝鲜拉撒路Lazarus组织，是全球知名盈利型间谍分支，核心任务盗取数字货币为境外机构提供资金支撑：
1. 精准狩猎目标：加密交易所、DeFi项目、Web3创始人、风投从业者、区块链开发团队；
2. 核心作案逻辑：不靠漏洞，主打信任欺诈，利用行业熟人关系降低戒备；
3. 过往大案：多次盗走数亿级别加密货币，擅长长期潜伏、无痕窃取；
4. 本次新升级：自研完整钓鱼运营后台，集成AI虚拟人像、实时摄像头窃听、钱包自动探测、Telegram账号蠕虫式扩散四大黑科技。
二、完整五阶攻击链路：从熟人消息到钱包清空，全程无破绽
阶段1：劫持行业大佬Telegram，熟人话术精准引流
黑客先批量入侵加密圈创始人、投资人Telegram账号，利用真实线下交集编造邀约话术：
> 上次FT晚宴见过，下周伦敦碰一面，我发个会议链接咱们线上先沟通
普通人看到熟悉联系人、真实线下共同经历，几乎不会怀疑。一旦有人点击链接，黑客会持续利用该受害者电脑窃取其Telegram会话，自动向该联系人列表群发钓鱼消息，实现自我复制式扩散。
不少受害者等到账号被盗发诈骗信息，才在领英发布账号被盗预警，但已经有大量同行中招。
阶段2：高仿Zoom/Teams虚假会议页面，肉眼无法分辨
攻击者搭建海量拼写劫持域名（us.zoom.06webin.us、microteam.live等），页面1:1复刻官方视频会议，分为两套独立套件：
Zoom版：26个JS文件，轻量化，基础钱包扫描；
Teams版：44个TSX完整工程，支持虚拟背景、表情包、移动端拦截，仿真度拉满。
点击链接进入页面，填写姓名后会申请摄像头权限，你的实时画面会通过WebRTC实时传给黑客后台，全程无任何提示。
阶段3：AI虚拟真人视频建立信任，全程无真人出镜
这是本次攻击最大创新：黑客后台预存AI生成人脸视频，匹配受害者线下见过的行业人物样貌。假会议内对方全程播放合成人像，搭配定时聊天话术：
1. 2.5秒：你能听见吗？画面看着没问题；
2. 6.5秒：我的麦克风总断，应该是Zoom SDK版本太旧；
短短几句对话，彻底打消用户警惕，为下一步植入恶意程序铺垫。
阶段4：ClickFix剪贴劫持核心陷阱，复制即中毒
黑客弹出「SDK版本过时，需要修复」弹窗，页面给出一段看似无害的修复命令，提示复制粘贴到终端：
致命漏洞：页面JS静默篡改剪贴板
你肉眼看到的修复代码是假的，只要执行复制操作，剪贴板会自动替换为混淆PowerShell/Shell恶意载荷，粘贴运行后木马直接落地。
Windows下发NukeSped远控，macOS下发专门钥匙窃取程序，主流杀毒检出率不足20%，mac样本甚至全免杀。
阶段5：全盘扫描钱包，数据自动回传黑客Telegram后台
恶意程序运行后全自动执行4大窃取动作：
1. 遍历Chrome/Edge/Brave所有MetaMask、Solana等钱包插件，记录资产情况，只针对高价值目标深化攻击；
2. 抓取浏览器密码、SSH私钥、云API密钥、企业Git凭证；
3. Windows：添加Defender排除项，长期驻留，监控Telegram会话用于二次传播；
4. macOS：调用系统安全工具读取钥匙串全部账号密码，通过硬编码Telegram机器人自动打包发送至黑客专属“Aurora”频道。
三、Windows & macOS双平台恶意载荷拆解
Windows攻击链（两段式投递）
1. 一级PowerShell加载器：不足600字节Base64脚本，下载VBS远控，自动添加Windows Defender排除目录，关闭实时防护；
2. NukeSped VBS后门（Lazarus标志性木马）：
枚举全部进程、浏览器扩展、Telegram本地缓存；
检测本机是否登录Telegram，若存在则窃取会话用于新一轮钓鱼；
内置C2心跳指令，黑客可远程下发PE盗币程序、键盘记录器。
macOS攻击链（零查杀FUD脚本）
1. 自删除Shell脚本，后台下载伪装Zoom/Teams安装包；
2. 主Mach-O二进制程序分为两个版本：
简易版：仅下载后门，无窃取功能；
完整版：LLVM混淆，读取系统钥匙串，抓取Chrome主密码，通过Telegram机器人外传。
四、攻击者基础设施全曝光，全网高危IOC清单
1、域名集群（全部托管Cloudzy海外匿名服务器）
黑客批量注册仿冒会议域名，统一服务器网段172.86.xx、45.61.xx，全部搭载XAMPP简易服务器，源码文件未删除.map源码映射，直接暴露完整开发逻辑。
2、数据外传通道（无需自建C2，极难关停）
所有窃取的钱包、账号数据，不经过传统网站服务器，直接通过内置Telegram Bot推送至黑客私密频道，关停域名无法阻断数据外传。
黑客操作员账号@alchemy_john_mac曾潜入加密社群，询问合约提现方式，侧面印证盗币核心目的。
3、标志性特征
固定假会议密码`9jXK14VFM8fObdKxfkake7tD7rPhzs.1`；
加密通信统一AES-GCM-256算法；
载荷文件名：oklnkae.vbs、winapp.bin等伪装程序。
五、Web3/金融从业者4条落地防御方案
1、社交沟通双重核验机制
只要Telegram、领英好友发来会议链接、合作邀约，必须通过电话、线下当面确认，哪怕是相识多年的同行，账号劫持风险极高，不要仅凭线上文字信任对方。
2、禁用浏览器剪贴自动写入权限
企业统一浏览器策略，关闭网页JS自动复制剪贴板权限，遇到网站要求“复制命令修复设备”一律直接关闭页面，没有任何正规软件会要求终端粘贴代码修复会议。
3、终端管控核心配置
1. Windows：限制PowerShell无文件执行，开启AppLocker拦截未知脚本；
2. macOS：禁止未知来源程序运行，定期清理LaunchAgent陌生自启动项；
3. EDR添加规则：监控浏览器页面触发终端粘贴、异常Telegram数据外联。
4、钱包与办公设备物理隔离
存放大额加密资产的钱包，不要在日常办公电脑安装，专用离线设备管理私钥，办公机一旦中招，全部助记词、授权凭证会被一键打包窃取。
六、中招应急处置步骤
1. 立刻断开电脑外网，停止一切终端、浏览器操作；
2. 全浏览器卸载钱包插件，修改所有交易所、云服务、Git密码；
3. Windows删除%temp%目录下VBS恶意文件，清除Defender排除规则；
4. macOS删除/tmp下不明bin程序，重置系统钥匙串；
5. 告知全部社交联系人，避免黑客利用你的账号继续传播钓鱼链接；
6. 全网查杀可疑外联IP、恶意域名，同步企业安全负责人。
七、文末总结
传统钓鱼靠陌生垃圾邮件，BlueNoroff这套ClickFix套件完全颠覆攻击思路：先用熟人信任降低防备，再用高仿页面、AI真人视频麻痹警惕，最后依靠剪贴劫持实现无痕投毒，搭配区块链钱包定向筛选，精准收割加密行业高价值人群。
Web3创始人、区块链开发、风投从业者是首要目标，务必把双重核验、剪贴管控纳入公司全员安全规范，一条会议链接，可能导致千万数字资产被盗。
加入知识星球，可获取权益
一、"全球高级持续威胁：网络世界的隐形战争"，总共26章，为你带来体系化认识APT，欢迎感兴趣的朋友入圈交流。
二、为什么加入？
职场瓶颈期找不到突破方向？安全项目落地缺成熟方案？面对APT攻击、勒索病毒不知如何构建防御体系？
三、在这里，你能获得的不只是资料包，而是直接对接行业专家的「私人顾问服务」
✅ 职业发展「精准导航」
1v1简历优化：针对安全岗（渗透测试/安全运营/合规等）拆解JD，突出核心竞争力；
晋升避坑指南：从工程师到安全负责人，分享晋升路径，避开「技术强但管理弱」的晋升陷阱；
技能栈规划：根据你的基础（应届生/3年经验/资深专家）定制学习路线，比如从0到1学SOC安全建设、APT威胁狩猎。
✅ 安全方案「对症开方」
实战方案库：含医疗/制造业/等行业的勒索防御、数据安全合规、供应链安全加固方案（附落地工具清单+成本测算）；
架构设计咨询：小到EDR选型，大到零信任体系搭建，提供「预算效果」平衡的最优解（已帮10+企业节省40%防护成本）。
✅ 圈子资源「直接对接」
大厂安全负责人拆解真实案例（如某支付公司攻防对抗的实战复盘）；
四、适合谁？
想突破职业天花板的安全工程师/架构师；
需快速落地安全项目的企业负责人；
关注行业动态的安全爱好者或IT从业人员。
喜欢文章的朋友动动发财手点赞、转发、赞赏，你的每一次认可，都是我继续前进的动力。