Lazarus slaat weer toe: hackers stelen crypto met valse Zoom-calls

Cybercriminelen uit Noord-Korea hebben een nieuwe manier ontdekt om crypto te stelen. Met gebruik van valse Zoom-vergaderingen lukt het Noord-Koreaanse hackers om de cryptowallets van slachtoffers leeg te trekken. De werkwijze leidde volgens beveiligingsonderzoekers al tot meer dan 300 miljoen dollar aan gestolen tegoeden.

Misleiding via valse videogesprekken

Volgens MetaMask-beveiligingsonderzoeker Taylor Monahan maken de aanvallers gebruik van gescripte Zoom- en Teams-vergaderingen om slachtoffers te misleiden. De aanval begint meestal met een bericht via Telegram van een account dat zich voordoet als een bekende van het slachtoffer. Vervolgens wordt via een uitnodiging op Calendly een Zoom-link gedeeld.

Tijdens de ‘vergadering’ ziet het slachtoffer een live videobeeld van de vermeende contactpersoon en andere teamleden. In werkelijkheid gaat het echter om vooraf opgenomen beelden. De aanvaller klaagt daarna over slechte audio en stuurt via de chat een zogenaamd patch-bestand. Dit bestand bevat in werkelijkheid een Remote Access Trojan (RAT). Dit is malware waarmee gevoelige gegevens zoals wachtwoorden, beveiligingsprotocollen en privésleutels kunnen worden buitgemaakt.

“Ze hebben via deze methode al meer dan 300 miljoen dollar gestolen,” aldus Monahan. “Noord-Koreaanse actoren maken nog steeds veel te veel slachtoffers via hun nep-Zoom- en nep-Teams-vergaderingen.”

Georganiseerde cyberaanvallen op de cryptosector

De tactiek maakt deel uit van een bredere strategie van Noord-Koreaanse hackgroepen, waaronder de Lazarus Group. Deze groepering wordt al jaren gelinkt aan grootschalige aanvallen op de cryptosector. Zo werden eerder nep-sollicitaties en vervalste interviews gebruikt om toegang te krijgen tot interne systemen van cryptobedrijven.

In november wist Lazarus via een dergelijke operatie nog voor 30,6 miljoen dollar aan digitale activa buit te maken bij Upbit, de grootste cryptobeurs van Zuid-Korea. Volgens cybersecuritybedrijf SEAL worden dagelijks meerdere van dit soort aanvallen gedetecteerd.

Deskundigen adviseren slachtoffers om bij vermoeden van besmetting direct de wifi-verbinding te verbreken en het apparaat uit te schakelen, om verdere schade te beperken. In totaal is er in 2025 wereldwijd al voor ruim 2,17 miljard dollar aan crypto-activa gestolen.