Hackers norte-coreanos visam candidatos a empregos em cripto com malware

Hackers norte-coreanos, o Famous Chollima, visaram especialistas em cripto com entrevistas de emprego falsas projetadas para roubar seus dados e implantar malware em seus dispositivos. O malware roubou credenciais de mais de 80 extensões de navegador, incluindo gerenciadores de senhas e carteiras de cripto como Metamask, 1Password, NordPass, Phantom, Bitski, Initia, TronLink e MultiverseX.

Na quarta-feira, a empresa de pesquisa de inteligência de ameaças Cisco Talos reportou que o Famous Chollima se passou por empresas legítimas e direcionou vítimas inocentes para sites de teste de habilidades, onde as vítimas inseriam detalhes pessoais e respondiam a perguntas técnicas.

Os sites de teste de habilidades se apresentavam falsamente como empresas reais como a Coinbase, Archblock, Robinhood, Parallel Studios, Uniswap e outras, o que ajudou no direcionamento. 

Apenas alguns usuários, predominantemente na Índia, foram afetados com base em inteligência de código aberto. Dileep Kumar H V, diretor da Digital South Belief, aconselhou que, para combater essas fraudes, a Índia deveria exigir auditorias de cibersegurança para empresas de blockchain e monitorar portais de emprego falsos. Ele também pediu uma coordenação global mais forte contra o cibercrime transfronteiriço e campanhas de conscientização digital.

A Talos acompanha a fraude e confirma uma conexão norte-coreana

🚨 𝗔𝗟𝗘𝗥𝗧𝗔: 𝗛𝗮𝗰𝗸𝗲𝗿𝘀 𝗻𝗼𝗿𝘁𝗲-𝗰𝗼𝗿𝗲𝗮𝗻𝗼𝘀 𝗲𝘀𝘁𝗮𝗺 𝗮𝗹𝘃𝗶𝗻𝗱𝗼 𝗽𝗿𝗼𝗳𝗶𝘀𝘀𝗶𝗼𝗻𝗮𝗶𝘀 𝗱𝗲 𝗯𝗹𝗼𝗰𝗸𝗰𝗵𝗮𝗶𝗻 𝗰𝗼𝗺 𝗻𝗼𝘃𝗼 𝗺𝗮𝗹𝘄𝗮𝗿𝗲 𝗿𝗼𝘂𝗯𝗮𝗱𝗼𝗿 𝗱𝗲 𝗶𝗻𝗳𝗼𝗿𝗺𝗮çõ𝗲𝘀

𝗗𝗶𝘀𝗳𝗿𝗮ç𝗮𝗱𝗮𝘀 𝗰𝗼𝗺𝗼 𝘀𝗶𝘁𝗲𝘀 𝗳𝗮𝗹𝘀𝗼𝘀 𝗱𝗲 𝗲𝗺𝗽𝗲𝗴𝗼 𝗲𝗺 𝗰𝗿𝗶𝗽𝘁𝗼 — 𝘁𝗲𝗻𝗵𝗮 𝗰𝘂𝗶𝗱𝗮𝗱𝗼… pic.twitter.com/wt4pe5o1Zg

— Mayank Dudeja || SPYONGEMS (@imcryptofreak) 20 de junho de 2025

A empresa de pesquisa de cibersegurança Cisco Talos afirmou que o novo trojan de acesso remoto baseado em Python chamado “PylangGhost” vinculou o malware a um coletivo de hackers afiliado à Coreia do Norte chamado “Famous Chollima”, também conhecido como “Wagemole.”

A empresa também divulgou que o malware PylangGhost era funcionalmente equivalente ao RAT GolangGhost documentado anteriormente, compartilhando muitas das mesmas capacidades. O Famous Chollima usou a variante baseada em Python para atingir sistemas Windows, enquanto a versão Golang visava usuários de macOS. Os sistemas Linux foram excluídos desses ataques mais recentes.

De acordo com a Talos, o grupo de atores de ameaças tem sido ativo desde 2024 por meio de várias campanhas bem documentadas. Essas campanhas incluíram o uso de variantes do Contagious Interview (também conhecido como Deceptive Development) e a criação de anúncios de emprego falsos e páginas de teste de habilidades. Os usuários foram instruídos a copiar e colar (ClickFix) um comando de linha de comando malicioso para instalar os drivers necessários para conduzir a etapa final de teste de habilidades.  

Os candidatos no esquema mais recente descoberto em maio foram instruídos a habilitar o acesso à câmera para uma entrevista em vídeo e solicitados a copiar e executar comandos maliciosos disfarçados de instalações de drivers de vídeo. Assim, eles acabaram usando o PylangGhost em seus dispositivos. A execução começou com o arquivo “nvidia.py”, que realizou várias tarefas: criou um valor de registro para iniciar o RAT sempre que um usuário fazia login no sistema, gerou um GUID para o sistema ser usado na comunicação com o servidor de comando e controle (C2), conectou-se ao servidor C2 e entrou no loop de comandos para comunicação com o servidor.

De acordo com a Cisco Talos, “As instruções para baixar o suposto corretivo são diferentes com base na impressão digital do navegador, e também fornecidas na linguagem de shell apropriada para o SO: PowerShell ou Command Shell para Windows, e Bash para MacOS.”

A Talos observou que, além de roubar fundos diretamente das exchanges, os hackers do Famous Chollima recentemente focaram em profissionais de cripto para coletar informações e possivelmente infiltrar-se em empresas de cripto por dentro. No início deste ano, hackers norte-coreanos estabeleceram empresas falsas dos EUA, BlockNovas LLC e SoftGlide LLC, para distribuir malware por meio de entrevistas de emprego fraudulentas antes que o FBI apreendesse o domínio da BlockNovas.

A Coreia do Norte emerge como um centro para esquemas de hacking notórios

Em dezembro 2024, o hack de US$ 50 milhões da Radiant Capital iniciaram quando atores norte-coreanos do DPRK se passaram por ex-contratados e enviaram PDFs contendo malware para engenheiros. O(s) impostor(es) compartilhou(u)m um arquivo zip sob o pretexto de pedir feedback sobre um novo projeto em que estavam trabalhando.

Uma declaração conjunta do Japão, Coreia do Sul e dos EUA também confirmou que grupos apoiados pela Coreia do Norte, incluindo o Lazarus, roubaram pelo menos US$ 659 milhões por meio de múltiplos assaltos a cripto em 2024. Os enviados observaram que os trabalhadores no exterior da Coreia do Norte, incluindo especialistas em TI envolvidos em “atividades cibernéticas maliciosas”, foram um fator importante na capacidade do regime de financiar seus programas de armas por meio do roubo e lavagem de fundos, incluindo cripto.

Chainalysis A vice-presidente de investigações Erin Plante confirmou que os hackers vinculados à Coreia do Norte foram, de longe, os hackers de cripto mais prolíficos nos últimos anos. Em 2022, eles quebraram seus próprios recordes de roubo, roubando cerca de US$ 1,7 bilhão em cripto em vários hacks, um aumento em relação aos US$ 428,8 milhões de 2021.

No entanto, em maio, a exchange de cripto Kraken revelou que havia identificado e frustrado com sucesso um operante norte-coreano que se candidatou a uma posição de TI. A Kraken pegou o candidato quando ele falhou nos testes básicos de verificação de identidade durante as entrevistas.