Hackers estatais da Coreia do Norte recorrem a chamadas Zoom com deepfakes para hackear empresas de criptomoedas

Hackers estatais da Coreia do Norte estão mirando empresas de criptomoedas com várias peças de malware únicas implantadas junto com múltiplos golpes, incluindo reuniões falsas do Zoom. 

O ator de ameaça vinculado à Coreia do Norte, conhecido como UNC1069, tem sido observado mirando o setor de criptomoedas para roubar dados sensíveis de sistemas Windows e macOS, com o objetivo final de facilitar o roubo financeiro.

Avaliou-se que a UNC1069 estava ativa desde abril de 2018. Ela tem um histórico de execução de campanhas de engenharia social para ganho financeiro usando convites de reuniões falsas e se passando por investidores de empresas respeitáveis. 

Chamada Zoom falsa implanta ataque de malware em empresa de criptomoedas

Em seu último relatório, pesquisadores da Google Mandiant detalharam sua investigação sobre uma intrusão que visava uma empresa de FinTech no setor de criptomoedas. De acordo com os investigadores, a intrusão começou com uma conta do Telegram comprometida pertencente a um executivo do setor de criptomoedas. 

Os atacantes usaram o perfil sequestrado para entrar em contato com a vítima. Eles gradualmente construíram confiança antes de enviar um convite do Calendly para uma reunião por vídeo. O link da reunião direcionou o alvo para um domínio falso do Zoom hospedado em infraestrutura sob o controle dos atacantes.

Durante a chamada, a vítima relatou ter visto o que parecia ser um vídeo deepfake de um CEO de outra empresa de criptomoedas.

“Embora a Mandiant não tenha conseguido recuperar evidências forenses para verificar independentemente o uso de modelos de IA neste caso específico, a farsa reportada é semelhante a um incidente anteriormente reportado publicamente com características semelhantes, no qual deepfakes também foram supostamente usados”, afirmou o relatório .

Os atacantes criaram a impressão de problemas de áudio na reunião para justificar o próximo passo. Eles instruíram a vítima a executar comandos de solução de problemas em seu dispositivo. Esses comandos, adaptados para sistemas macOS e Windows, iniciaram secretamente a cadeia de infecção. Como resultado, vários componentes de malware foram ativados.

A Mandiant identificou sete tipos distintos de malware usados durante o ataque. As ferramentas foram projetadas para acessar o chaveiro e roubar senhas, recuperar cookies do navegador e informações de login, acessar informações de sessão do Telegram e obter outros arquivos privados.

Os investigadores avaliaram que o objetivo era duplo: permitir o possível roubo de criptomoedas e colher dados que pudessem apoiar futuros ataques de engenharia social. A investigação revelou um volume incomumente grande de ferramentas descartadas em um único host. 

Clusters de golpes vinculados à IA mostram maior eficiência operacional

O incidente faz parte de um padrão mais amplo. Atores vinculados à Coreia do Norte desviaram mais de US$ 300 milhões se passando por figuras respeitadas do setor durante reuniões fraudulentas do Zoom e Microsoft Teams.

A escala da atividade ao longo do ano foi ainda mais impressionante. Como reportado pela Cryptopolitan, grupos de ameaças da Coreia do Norte foram responsáveis por US$ 2,02 bilhões em ativos digitais roubados em 2025, um aumento de 51% em relação ao ano anterior.

A Chainalysis também revelou que clusters de golpes vinculados a provedores de IA mostram maior eficiência operacional do que aqueles sem tais vínculos. De acordo com a empresa, essa tendência sugere um futuro em que a IA se torne um componente padrão da maioria das operações de golpe.

Em um relatório publicado em novembro passado, o Google Threat Intelligence Group (GTIG) notou o uso do ator de ameaça de ferramentas de inteligência artificial generativa (IA), como o Gemini. Eles as usam para produzir materiais de isca e outras mensagens relacionadas a criptomoedas como parte de seus esforços para apoiar suas campanhas de engenharia social.

Desde pelo menos 2023, o grupo mudou de técnicas de spear-phishing e direcionamento de finanças tradicionais (TradFi) para a indústria Web3, como exchanges centralizadas (CEX), desenvolvedores de software em instituições financeiras, empresas de alta tecnologia e indivíduos em fundos de capital de risco.

Google.

O grupo também foi observado tentando abusar do Gemini para desenvolver código para roubar ativos de criptomoedas. Eles também aproveitam imagens e vídeos de isca com deepfakes imitando indivíduos do setor de criptomoedas em suas campanhas para distribuir um backdoor chamado BIGMACHO às vítimas, passando-o por um kit de desenvolvimento de software (SDK) do Zoom.