Grupo patrocinado pela Coreia do Norte utiliza táticas sofisticadas para comprometer alvos
O grupo de hacking norte-coreano APT37, também conhecido como ScarCruft, foi atribuído a uma nova campanha de intrusão direcionada que utiliza engenharia social através do Facebook e de um instalador de software adulterado para distribuir malware. A campanha foi identificada por analistas de segurança como um ataque de pretexting, onde o ator constrói um cenário falso convincente para induzir a vítima a realizar uma ação específica.
Descoberta e escopo da campanha
A campanha começou em redes sociais, onde o ator criou duas contas no Facebook — "richardmichael0828" e "johnsonsophia0414" — registradas em 10 de novembro de 2025, com localizações de perfil definidas como Pyongyang e Pyongsong, na Coreia do Norte. Após enviar solicitações de amizade para alvos cuidadosamente selecionados, o ator construiu confiança através de conversas no Messenger, mudando a discussão para tecnologia de armas militares.
Uma vez estabelecido o interesse genuíno, a comunicação foi transferida para o Telegram, onde o conteúdo malicioso foi entregue. O ator alegou estar compartilhando PDFs criptografados contendo dados classificados de armas militares, informando aos alvos que precisavam de um visualizador especial para abrir esses arquivos.
Vetor e exploração técnica
O visualizador prometido era, na verdade, um instalador do Wondershare PDFelement adulterado. O arquivo malicioso chegou dentro de um arquivo ZIP criptografado chamado "m.zip", embalado junto com PDFs falsos de tema militar e um guia de usuário falso para parecer completamente legítimo. O instalador adulterado se assemelhava muito ao software oficial do Wondershare PDFelement, mas não possuía assinatura digital válida.
A parte mais tecnicamente refinada deste ataque foi o shellcode embutido no instalador adulterado através de um método conhecido como PE patching, ou injeção de cave de código. O endereço de inicialização do instalador legítimo foi substituído por um novo ponto de entrada, onde cerca de 2 KB de shellcode malicioso foram inseridos silenciosamente.
Quando o instalador foi executado, a execução saltou para este shellcode, que criou uma instância suspensa do dism.exe — uma utilidade nativa do Windows — usando a flag CREATE_SUSPENDED. O payload do atacante foi descriptografado através de uma operação XOR de um único byte e escrito na memória do dism.exe via WriteProcessMemory.
Impacto e alcance do ataque
O malware recuperou um payload de segunda fase disfarçado como uma imagem JPG do domínio "japanroom[.]com". Os dados roubados, incluindo capturas de tela, documentos em formatos como DOC, XLS, PDF, HWP e gravações de áudio, foram exfiltrados para o armazenamento em nuvem Zoho WorkDrive através de tokens OAuth2 embutidos, tornando o tráfego de saída indistinguível da atividade de nuvem comum.
Este ataque é particularmente preocupante porque não toca nenhum arquivo malicioso no disco, tornando-se um ataque sem arquivo que ferramentas antivírus padrão teriam dificuldade em detectar. A execução retornou ao processo de instalação normal do PDFelement após todos os passos maliciosos serem concluídos, deixando a vítima sem motivo visível para se preocupar.
Medidas de mitigação recomendadas
Organizações que trabalham com materiais de defesa ou governo devem verificar assinaturas digitais em todos os instaladores de software antes de executá-los e evitar instalar programas recebidos através de plataformas de mensagens sem confirmar a fonte oficial. Além disso, é recomendado implantar soluções de detecção de endpoint que sinalizem processos filhos anormais gerados por instaladores e monitorar conexões de saída inesperadas para serviços em nuvem.
Perguntas frequentes
Como identificar este tipo de ataque?
Verifique assinaturas digitais de instaladores, monitore conexões de saída para serviços em nuvem não autorizados e esteja atento a conversas em redes sociais que envolvam temas sensíveis como armas ou dados classificados.
Qual é o risco para o Brasil?
Embora o foco seja em alvos militares e de defesa, qualquer organização que utilize softwares de diagnóstico ou ferramentas de visualização de PDF deve estar alerta para versões adulteradas e verificar a integridade dos arquivos baixados.