BlueNoroff escaneia carteiras cripto em chamadas falsas do Zoom antes de implantar malware
- A empresa de segurança JUMPSEC descobriu que o BlueNoroff, da Coreia do Norte, perfila carteiras cripto em chamadas falsas do Zoom e Teams, infectando seletivamente alvos de alto valor no Windows e macOS.
- A campanha atingiu mais de 100 vítimas em mais de 20 países, com 41% nos Estados Unidos e 45% dos alvos sendo fundadores ou CEOs.
- O BlueNoroff, um subgrupo do Grupo Lazarus, continua revisando seu kit de phishing; a JUMPSEC contabilizou quatro variantes para macOS apenas entre 22 de abril e 15 de julho.
Uma equipe de hackers norte-coreana rastreia carteiras cripto antes de atacar. O grupo engana vítimas para chamadas falsas do Zoom e Microsoft Teams.
A empresa de segurança britânica JUMPSEC lançou a análise do código-fonte esta semana. A operação do BlueNoroff visa as pessoas que detêm chaves privadas. Basta uma pessoa clicar no prompt errado.
BlueNoroff rastreia carteiras cripto antes de escolher quem infectar
A JUMPSEC conseguiu recuperar o verdadeiro código-fonte do kit depois que seus operadores deixaram os source maps de JavaScript expostos na infraestrutura ativa.
Os arquivos descrevem um fluxo de trabalho que escaneia o navegador de um alvo assim que ele acessa a página de reunião falsa. A JUMPSEC descobriu que o kit procura por conexões Ethereum com o padrão EIP-6963 e com técnicas de navegador legadas.
Ele também investiga carteiras não-EVM, como ferramentas Solana. Os resultados são enviados diretamente para um painel do operador. E a pessoa na chamada nunca recebe um prompt ou aviso.
O malware em computadores Windows tem uma lista de IDs de extensões de navegador para Chrome, Edge, Brave, Opera, Vivaldi e Firefox. Os hackers então usam esses IDs para verificar contra extensões de carteira conhecidas como MetaMask.
Os atacantes podem verificar cada carteira, decidir quais valem a pena para uma invasão completa e, em seguida, enviar payloads para esses alvos. A isca é baseada na confiança existente da vítima em outra pessoa.
Os atacantes assumem o controle da conta do Telegram de um contato cripto e enviam um convite convincente do Calendly para um domínio de reunião falsa. Cada conta sequestrada leva aos próprios contatos cripto desse contato, que se tornam a próxima rodada de alvos.
Assim que a videochamada começa, a página pede um nome e acesso à webcam. Em seguida, envia o feed da câmera para o painel do atacante em segundo plano.
As vítimas então veem uma tela que diz “aguardando outros participantes”. Em seguida, o operador reproduz um vídeo pré-gravado e diz à vítima: “Seu microfone não está funcionando.” Depois disso, aparece uma mensagem falsa de “Atualização do SDK do Zoom”.
O rosto na chamada não é real, de acordo com a JUMPSEC. Os atacantes costuram headshots gerados por IA em movimentos corporais capturados em reuniões anteriores.
A página de reunião falsa do Teams inclui reações de emoji, configurações de dispositivo, efeitos de fundo e varredura de carteiras. A JUMPSEC também encontrou um clone incompleto do Google Meet dentro do código exposto.
Cada sistema operacional tem payloads de malware dedicados
No Windows, o comando ClickFix copiado inicia um pequeno carregador PowerShell que baixa um VBScript. Em seguida, adiciona uma exclusão do Microsoft Defender e reinicia o Defender para tornar a alteração permanente.
O payload coleta informações do sistema e procura por extensões de carteira nos navegadores. Ele também procura por arquivos do Telegram Web. E pode receber payloads posteriores que os pesquisadores nunca recuperaram completamente.
Os hackers instalam um instalador falso do Zoom ou Teams no macOS enquanto um stealer roda silenciosamente. Ele rouba dados do sistema e chaves mestras do Chrome do Keychain da Apple e os envia via Telegram.
Pesquisadores de segurança encontraram quatro versões do macOS entre 22 de abril e 15 de julho. A Arctic Wolf e a JUMPSEC encontraram cinco versões de kits de phishing enviadas entre 31 de maio e 14 de julho, com comprometimento total em menos de cinco minutos.
A pesquisa da Arctic Wolf identificou mais de 100 vítimas em mais de 20 países, incluindo 41% nos Estados Unidos. Em abril, a Arctic Wolf contabilizou mais de 80 domínios de reunião typosquatted registrados desde o final de 2025.
Cerca de 80% dos-alvos trabalham em cripto ou finanças blockchain, e 45% são fundadores ou CEOs. O timing dos ataques também correspondeu ao horário comercial na Coreia do Norte.
O BlueNoroff é um subgrupo do Grupo Lazarus. A Cryptopolitan reportou anteriormente que o Lazarus atacou bancos e empresas de cripto com um trojan RemotePE sem arquivo, usando iscas semelhantes do Telegram e agendadores falsos.
Não apenas leia notícias sobre criptomoedas. Entenda-as. Inscreva-se em nossa newsletter. É grátis.
Perguntas Frequentes
Quem está por trás dos ataques falsos do Zoom e Teams?
O BlueNoroff está por trás disso, um subgrupo motivado financeiramente do Grupo Lazarus da Coreia do Norte. Pesquisadores vinculam o grupo a diversos roubos de criptomoedas destinados a financiar o estado norte-coreano.
Como o ataque rouba criptomoedas?
A página de reunião falsa varre primeiro o navegador da vítima em busca de carteiras. Um operador então aciona uma mensagem falsa de atualização de software que executa um comando ClickFix, instalando malware que coleta credenciais de carteiras, dados do sistema e arquivos do Telegram no Windows ou macOS.
Quantas pessoas foram alvo?
A Arctic Wolf identificou mais de 100 vítimas em mais de 20 países, com 41% nos Estados Unidos. Cerca de 80% trabalhavam com criptomoedas ou finanças de blockchain, e 45% eram fundadores ou CEOs.
Aviso. As informações fornecidas não constituem aconselhamento de negociação. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta a um profissional qualificado antes de tomar qualquer decisão de investimento.
Randa Moses
Randa Moses é editora e repórter na Cryptopolitan, cobrindo tecnologia, IA, robótica, criptomoedas, golpes e hacks. Ela atua no espaço de criptomoedas desde 2017. Já ocupou cargos na Forward Protocol, AmaZix e Cryptosomniac. Randa possui graduação em Engenharia Elétrica e Eletrônica pela Universidade de Bradford.
