Uma unidade de hacking norte-coreana refinou um esquema que transforma conversas cotidianas em armadilhas de malware. O grupo BlueNoroff, vinculado ao ecossistema mais amplo do Lazarus, está assumindo contas reais do Telegram que pertencem a contatos confiáveis da indústria. Essas identidades roubadas enviam então links de reuniões falsas do Zoom e Microsoft Teams para funcionários seniores de empresas de criptomoedas e Web3.
O motivo é financeiro. Os operadores vasculham navegadores em busca de carteiras de criptomoedas antes de entregar o malware, com o objetivo de roubar credenciais e fundos que podem apoiar objetivos apoiados pelo estado. O esforço funciona menos como uma página falsa simples e mais como um pipeline repetível que cresce cada vez que um novo contato é comprometido.
Analistas da Jumpsec identificaram a operação após os operadores deixarem mapas de origem JavaScript expostos em servidores ao vivo. A Jumpsec disse em um relatório compartilhado com a Cyber Security News que o kit impersona reuniões do Zoom e Teams enquanto perfila silenciosamente carteiras e guia as vítimas para uma etapa de colar do ClickFix. A equipe reconstruiu os caminhos do Windows e macOS desde o primeiro isco até as etapas posteriores de roubo.
A cadeia de ataque e como se manter seguro
No Windows, o comando colado executa um carregador pequeno do PowerShell que busca um implante VBScript classificado como Trojan.NukeSped, uma família vinculada às ferramentas do Lazarus. O script coleta dados do sistema, extensões do navegador e sinais de uso do Telegram, depois chama em casa por mais payloads enquanto tenta enfraquecer as defesas locais. No macOS, scripts de shell puxam aplicativos de instalação falsos do Zoom ou Teams que mantêm o usuário ocupado enquanto um stealer lê segredos do keychain do Chrome e os envia através de bots do Telegram.
Os pesquisadores encontraram vários binários Mach-O e notaram que algumas construções de stealer tinham pouca ofuscação, o que ajudou na análise. Os hosts de suporte agrupados em um único provedor com muitos domínios parecidos com Zoom e Teams ainda estavam vivos durante a revisão. Para equipes que já enfrentaram uma armadilha estilo reunião falsa do Zoom, o aviso é familiar: um nome de marca dentro de um link não é prova de que o site é real.
Técnicas de engenharia social e ClickFix
O convite parece ordinário à primeira vista. Os links colocam rótulos familiares como us.zoom em domínios de propriedade do atacante para que o endereço pareça seguro. Após o usuário digitar um nome e permitir a câmera, a página envia silenciosamente o feed da webcam para um painel do operador. A vítima então fica em uma sala de espera falsa enquanto o operador entra com um vídeo encenado construído a partir de headshots de IA e movimento corporal real.
Linhas de chat cronometradas afirmam que o microfone está falhando e empurram uma atualização falsa do SDK do Zoom. Esse prompt abre a caixa do ClickFix. Quando a vítima copia o que parece ser uma correção simples, a área de transferência é substituída por um comando prejudicial. O mesmo truque social se baseia na técnica de isco ClickFix mais ampla vista em outras campanhas de malware.
Indicadores de comprometimento (IOCs)
Os IOCs incluem hashes SHA256 para carregadores do PowerShell e implantes VBScript, domínios de C2 como callsdk.online e weekly-up.online, e IPs de infraestrutura de isco como 144.172.110.53. Arquivos como oklnkae.vbs e NltOci4.vbs foram observados no diretório %TEMP% do Windows. No macOS, aplicativos de instalação falsos como ZoomApp.zip e TeamsApp.zip foram usados como iscas.
Recomendações para executivos e equipes de segurança
Se você trabalha na Web3 e recebe um convite do Zoom, Teams ou Meet pelo Telegram, mesmo de alguém que você conhece há meses, confirme o plano em um segundo canal antes de clicar. Estude o domínio verdadeiro, não apenas os rótulos de subdomínio. Ferramentas de reunião reais nunca pedem que você cole comandos de terminal para reparar problemas de áudio ou câmera. Trate canais de chat confiáveis como parte da sua borda de segurança, porque o BlueNoroff está contando com essa confiança para abrir a porta.
Implicações para a segurança de criptomoedas
As firmas que detêm grandes ativos digitais permanecem presas primárias porque uma violação bem-sucedida pode desbloquear valor sério. O foco do BlueNoroff em carteiras de criptomoedas e ferramentas de navegador significa que o impacto financeiro pode ser imediato e significativo. A perda de credenciais de carteiras pode levar ao esvaziamento de fundos em minutos, sem que a vítima perceba nada errado até que os fundos desapareçam.
Perguntas frequentes
Como identificar se minha conta do Telegram foi comprometida?
Monitore sessões ativas e notificações de login incomuns. Se receber mensagens suspeitas de contatos conhecidos, verifique com eles por outro meio.
O ClickFix é uma técnica nova?
Não, é uma técnica social que evoluiu, mas o BlueNoroff a adaptou para campanhas de criptomoedas com alta precisão.
Devo desinstalar o Zoom ou Teams?
Não, mas verifique sempre a origem dos links de convite e nunca cole comandos de terminal sugeridos por estranhos ou contatos suspeitos.