Hackers norte-coreanos usam empresas americanas falsas para hackear desenvolvedores de cripto

Operadores cibernéticos norte-coreanos formaram silenciosamente duas sociedades de responsabilidade limitada nos Estados Unidos e as utilizaram para introduzir código malicioso a engenheiros de software em busca de emprego no mundo das criptomoedas, segundo documentos legais dos EUA e pesquisas partilhadas com a Reuters.

A Silent Push, uma empresa de cibersegurança, afirma que a Blocknovas LLC, no Novo México, e a Softglide LLC, em Nova Iorque, foram constituídas com nomes fictícios e endereços alugados para que os hackers pudessem aparentar ser empregadores legítimos enquanto enviavam malware aos candidatos. Uma terceira empresa, Angeloper Agency, apresentava impressões digitais web maliciosas idênticas, mas não constava de qualquer registo corporativo nos EUA.

“Este é um raro exemplo de hackers norte-coreanos conseguindo realmente estabelecer entidades corporativas legais nos EUA para criar fachadas corporativas usadas para atacar candidatos a emprego desprevenidos”, disse Kasey Best, diretora de inteligência de ameaças da Silent Push, à Reuters.

O Federal Bureau of Investigation (FBI) dos EUA não comentou diretamente sobre as duas empresas. No entanto, na quinta-feira, o bureau publicou um aviso de apreensão no site da Blocknovas, indicando que o domínio tinha sido tomado “no âmbito de uma ação policial contra agentes cibernéticos norte-coreanos que utilizaram este domínio para enganar indivíduos com ofertas de emprego falsas e distribuir malware.”

Antes da remoção, altos funcionários do FBI informaram à agência que o objetivo é “impor riscos e consequências não apenas aos próprios agentes da RPDC, mas também a qualquer pessoa que facilite a sua capacidade de conduzir estes esquemas.”

Um funcionário chamou as unidades de hacking da Coreia do Norte de “talvez uma das ameaças persistentes mais avançadas” que os Estados Unidos enfrentam hoje.

A Silent Push afirma que os atacantes se passaram por recrutadores e ofereceram entrevistas que exigiam que os alvos abrissem arquivos maliciosos.

Blocknovas e Softglide usaram anúncios de emprego para introduzir malware entre programadores de criptomoedas

Uma vez ativados, os ficheiros tentavam recolher chaves de carteiras de criptomoedas, senhas e outras credenciais que poderiam posteriormente ajudar a aceder a bolsas ou empresas de tecnologia.

O relatório não publicado da empresa confirma 'vítimas múltiplas', a maioria abordada por meio da Blocknovas, que os pesquisadores descrevem como 'de longe a mais ativa' das três frentes.

Registros estaduais mostram que a Blocknovas foi registrada no Novo México em 27 de setembro de 2023. Seus documentos listam um endereço postal em Warrenville, Carolina do Sul, que o Google Maps mostra como um terreno vazio.

A incorporação da Softglide em Nova York remonta a um pequeno escritório de preparação de impostos em Buffalo. Não houve rastros das pessoas cujos nomes aparecem em qualquer um dos registros.

Funcionários dos EUA afirmam que o padrão se encaixa em uma campanha mais ampla da Coreia do Norte para angariar moeda forte. Washington, Seul e especialistas da ONU há muito acusam Pyongyang de roubar criptomoedas e enviar milhares de trabalhadores de tecnologia da informação ao exterior para financiar o programa de mísseis nucleares do país.

Operar uma empresa controlada pela Coreia do Norte dentro dos Estados Unidos viola as sanções impostas pelo Escritório de Controle de Ativos Estrangeiros (OFAC) do Departamento do Tesouro. Viola também as medidas do Conselho de Segurança da ONU que proíbem atividades comerciais que beneficiem o estado ou o exército norte-coreano.

Arquivos de emprego infectados com malware estão ligados ao Grupo Lazarus

O secretário de Estado do Novo México disse em um e-mail que a Blocknovas foi registrada através do sistema online de LLCs domésticas usando um agente registrado e parecia cumprir as regras estaduais. 'Não haveria como nosso escritório saber sua conexão com a Coreia do Norte', escreveu um representante.

Os investigadores vinculam a atividade a um subgrupo do Grupo Lazarus, uma equipe de hacking de elite que responde ao Bureau de Reconhecimento Geral, o principal braço de inteligência estrangeira de Pyongyang.

A Silent Push identificou pelo menos três famílias de malware previamente conhecidas dentro dos arquivos de trabalho maliciosos. As ferramentas podem extrair dados de máquinas infectadas, abrir portas traseiras para novas intrusões e baixar código de ataque adicional, uma prática frequentemente observada em atividades passadas do Lazarus.

Por enquanto, o domínio da Blocknovas está sob apreensão federal, o site da Softglide está fora do ar e as páginas da Angeloper Agency retornam erros. No entanto, os investigadores alertam que novos aliases podem surgir rapidamente.

'Esta operação ilustra a ameaça continuamente evolutiva apresentada por agentes cibernéticos da RPCD', disse o FBI em seu comunicado, instando profissionais de tecnologia a examinar ofertas de trabalho não solicitadas e a relatar qualquer contato suspeito.