O grupo de hackers vinculado à Coreia do Norte, conhecido como Void Dokkaebi (também rastreado como Famous Chollima), atualizou uma de suas ferramentas mais perigosas, tornando-a mais difícil de ser detectada pelo software de segurança tradicional. O malware InvisibleFerret, um roubo de informações, foi reempacotado em um formato que escapa de muitos métodos de detecção convencionais.
Em vez de chegar como scripts Python simples, o malware agora vem disfarçado como arquivos binários compilados. Analistas da Trend Micro identificaram que o InvisibleFerret foi ofuscado usando Cython, uma ferramenta que converte código Python em binários nativos. Isso significa que as regras de detecção existentes para ameaças baseadas em Python podem não identificar mais o malware.
Evolução técnica do malware
A mudança central nesta variante atualizada é a transição de scripts Python para binários compilados por Cython. No Windows, o malware chega como arquivos .pyd, módulos de extensão Python no formato DLL. No macOS, o formato é .so, uma biblioteca compartilhada, e nenhum tipo executa independentemente sem um interpretador Python.
Para lidar com isso, a cadeia de infecção escreve um script companheiro .mod no disco e usa-o para lançar o binário compilado. Ferramentas de segurança que procuram padrões de scripts Python não sinalizarão nada nesses arquivos binários.
Vetor de ataque e distribuição
O grupo se passa por recrutadores de empresas de criptomoedas ou IA, convencendo desenvolvedores a clonar e executar repositórios de código como parte de entrevistas de emprego falsas. Uma vez executado, o código malicioso começa uma infecção em várias etapas projetada para roubar dados sensíveis e manter acesso persistente.
O malware tem quatro módulos principais com funções distintas. O módulo mod lida com a conexão inicial e baixa mais payloads. O módulo pad fornece acesso de backdoor e coleta informações do sistema.
Impacto em desenvolvedores e cripto
A campanha é especialmente relevante para desenvolvedores de software, usuários de criptomoedas e organizações cujos funcionários têm acesso a chaves de assinatura ou pipelines de CI/CD. Equipes de segurança que dependem de detecções baseadas em scripts agora têm uma lacuna na cobertura.
O malware pode abrir acesso de backdoor, roubar credenciais do navegador, monitorar a atividade da área de transferência, registrar digitação e direcionar carteiras de criptomoedas. O carregador companheiro conhecido como BeaverTail também evoluiu de um downloader básico para uma ameaça mais ampla com suas próprias funções de coleta de credenciais e direcionamento de carteiras.
Técnicas de evasão e ofuscação
A ofuscação do BeaverTail também se tornou notavelmente mais forte. O código atualizado embaralha uma grande matriz de fragmentos Base64 na inicialização, remove caracteres inúteis de strings codificadas para derrotar a detecção simples e usa criptografia XOR com uma chave de 4 bytes para strings sensíveis como caminhos de arquivo.
Endereços IP de comando e controle são divididos em metades e trocados antes da codificação Base64 para complicar ainda mais a análise.
Recomendações para CISOs
Defensores devem se mover da detecção apenas de script para abordagens conscientes de binários que levem em conta módulos de extensão, artefatos incorporados e scripts de execução em tempo de execução. Equipes devem observar downgrades da versão do Chrome no macOS, extensões de carteira trojanizadas e atividade Python incomum em caminhos de diretório .vscode.
Perguntas frequentes
- Qual é o principal risco? Roubo de credenciais de desenvolvedores e chaves de criptomoedas.
- Como detectar? Monitorar arquivos .pyd e .so em diretórios suspeitos e atividade Python anômala.
- Quem é o alvo? Desenvolvedores de software e usuários de criptomoedas.