Nach Darstellung von JUMPSEC verschicken die Angreifer ihre Köderlinks über ein Konto, dem das Ziel bereits vertraut und dessen Inhaber es im realen Leben kennt. Dafür kapern sie legitime Telegram-Konten von Personen aus dem Kryptobereich und kontaktieren damit Führungskräfte großer Unternehmen. Die Nachricht enthält einen Calendly-Link zu einem vermeintlichen Meeting.
Dieser Link führt auf eine Adresse, die wie eine Zoom-Besprechung wirkt, tatsächlich aber auf eine gefälschte Domain zeigt. Dort werden Nutzer aufgefordert, ihren Namen einzugeben und den Zugriff auf die Webcam freizugeben. Sobald die Berechtigung erteilt ist, wird der Kamerastream laut JUMPSEC unbemerkt über mediasoup WebRTC an das Bedienpanel der Angreifer übertragen.
Nach dem Beitritt zum angeblichen Meeting sieht das Opfer eine weitere Seite, auf der es scheinbar allein in einem Zoom-Anruf wartet; eingeblendet wird die Meldung, dass auf weitere Teilnehmer gewartet werde. Ab diesem Punkt können die Betreiber nach Angaben von JUMPSEC das Treffen über ihr Panel steuern, gefälschte Hinweise wie „Ihr Mikrofon funktioniert nicht“ anzeigen und schließlich das angebliche „Zoom-SDK-Update“ auslösen, das in die ClickFix-Nutzlast mündet.
Parallel dazu führt das Kit im Browser einen Fingerprinting-Schritt aus, um installierte Kryptowallets zu erfassen. Erst danach erscheint der vermeintliche Administrator im falschen Meeting. Das dabei gezeigte Video ist laut JUMPSEC kein Livestream, sondern ein vorab bearbeitetes Video mit KI-generierten Porträts aus OpenAI ChatGPT, die über echte Körperbewegungen aus früheren Meetings gelegt werden. Nach Einschätzung des Unternehmens liefert jeder erfolgreiche Angriff damit Ausgangsmaterial für den nächsten: Das gefälschte Meeting zeigt ein plausibel vertraut wirkendes Gesicht mit der Körpersprache einer real gefilmten Person.
JUMPSEC identifizierte zwei eigenständige Ködervarianten, jeweils für Zoom und Microsoft Teams. Die Teams-Version gilt als ausgereifter als die Zoom-Variante und unterstützt unter anderem Emoji-Reaktionen, die Blockierung von Mobilgeräten und Tablets sowie erweiterte Wallet-Prüfungen vor der Malware-Auslieferung. Die ClickFix-Angriffsketten funktionieren sowohl unter Windows als auch unter macOS.
Eine weitere Analyse zeigte, dass die Telegram-Exfiltrationsfunktion Bot-Token und Chat-ID fest im Stealer-Binärprogramm hinterlegt. Eine Abfrage der Telegram-API zu diesem Bot-Token führte laut JUMPSEC zu einem Betreiber mit dem Namen „John“ und dem Handle „@alchemy_john_mac“. Noch im Mai 2026 wurde diese Person dabei beobachtet, wie sie Administratoren der Kryptowährungsgruppe MAIV zu Vesting-Verträgen und zur Abhebung ihrer Gelder befragte.
Zusätzlich ergab die Untersuchung der Infrastruktur laut JUMPSEC fünf unterschiedliche Versionen des Phishing-Kits zwischen dem 31. Mai und dem 14. Juli 2026. Das deutet auf aktive Weiterentwicklung und Feinabstimmung hin.
Warum BlueNoroff gezielt auf Zoom und Teams setzt, erklärte Sean Moran, Leiter Threat Research and Enablement bei JUMPSEC, gegenüber The Hacker News mit drei möglichen Faktoren: dem ClickFix-Vorwand, der Passung zur Zielanwendung und der größeren Fläche für Typosquatting. Der Kern des Vorwands sei ein angeblich veraltetes „Zoom-/Teams-SDK“; das funktioniere nur bei Plattformen, bei denen Opfer einen schwergewichtigen Desktop-Client erwarten. Zudem seien Zoom und Teams im Finanzumfeld mit Krypto-, Venture-Capital- und Gründerkontakten stark verbreitet. Auch die Domainstruktur spiele den Angreifern in die Hände, weil Adressen wie „us.zoom.06webin.us“ echten Zoom-Links stark ähneln. Moran ergänzte, im Quellcode existiere zwar bereits ein Google-Meet-Pendant als noch nicht umgesetzter Platzhalter, derzeit liefere das Kit aber nur Zoom- und Teams-Köderseiten aus.