Hackers russos e norte-coreanos roubam 2 TB de dados de bancos sul-coreanos
- Hackers russos e norte-coreanos implantam o ransomware Qilin na Coreia do Sul, roubando 2TB de dados de 28 vítimas do setor financeiro.
- A campanha Korean Leaks ocorreu em três ondas, utilizando mensagens políticas e propaganda junto com táticas tradicionais de extorsão por ransomware.
- Os atacantes exploraram uma violação em um provedor de serviços gerenciados, destacando vulnerabilidades na cadeia de suprimentos e a crescente sofisticação das operações de ransomware.
A indústria financeira da Coreia do Sul foi atingida por um ataque coordenado à cadeia de suprimentos vinculado a agentes de ameaça russos e norte-coreanos, o que resultou na implantação do ransomware Qilin e no roubo de dados sensíveis, confirmou a empresa de cibersegurança Bitdefender.
Ao compilar a pesquisa para seu relatório Threat Debrief de outubro, a Bitdefender disse que começou a investigar a campanha após notar um aumento incomum em incidentes de ransomware na Coreia do Sul em setembro.
O país registrou 25 ataques naquele mês, uma diferença profunda em relação à média mensal de apenas dois casos registrados entre setembro de 2024 e agosto deste ano.
Coreia do Sul alvo de ataques de ransomware Qilin
De acordo com o relatório da Bitdefender publicado na última segunda-feira, a Coreia do Sul tornou-se o segundo país mais afetado por ransomware este ano, ficando atrás apenas dos Estados Unidos. Em cerca de 33 casos, a empresa de segurança de software identificou, 25 casos foram atribuídos ao grupo de ransomware Qilin, e 24 das entidades comprometidas estavam dentro da indústria financeira.
“Esta operação combinou as capacidades de um grande grupo de Ransomware-as-a-Service (RaaS), o Qilin, com possível envolvimento de atores afiliados ao estado norte-coreano (Moonstone Sleet), aproveitando a comprometimento de um Provedor de Serviços Gerenciados (MSP) como vetor de acesso inicial”, lia-se no relatório.
O Qilin é um dos grupos de ransomware mais ativos deste ano, operando sob um modelo de Ransomware-as-a-Service (RaaS) e reivindicando mais de 180 vítimas apenas em outubro. De acordo com a inteligência de ameaças da NCC Group, a operação é responsável por 29% de todos os ataques de ransomware globalmente.
Embora o nome do grupo venha de uma criatura mitológica chinesa, a Bitdefender acredita que o Qilin tem raízes russas. Sua investigação descobriu que um de seus membros fundadores, “BianLian”, comunica-se em russo e inglês e é altamente ativo em fóruns de cibercrime de língua russa.
O grupo também evita atacar organizações na Comunidade dos Estados Independentes, uma regra comum entre operações de ransomware baseadas na Rússia.
O Qilin recruta hackers para realizar seus ataques, enquanto os operadores principais ficam com uma parte dos lucros ilícitos. O grupo também se orgulha de ter “uma equipe interna de jornalistas” para ajudar os afiliados a elaborar mensagens de extorsão e postagens para sua plataforma de vazamento de dados.
De acordo com a análise da Bitdefender sobre a campanha Korean Leaks, os hackers se passaram por “ativistas” e “patriotas”, usando linguagem política para produzir mensagens estilo propaganda, e visaram toda a indústria financeira do país.
Em um caso de 20 de agosto envolvendo uma empresa de construção, os atacantes alertaram que os dados roubados tinham “valor de inteligência militar”. A mensagem afirmava que planos e desenhos de centenas de projetos concluídos, incluindo pontes e tanques de gás natural liquefeito, agora estavam acessíveis publicamente.
“Um relatório sobre o que foi encontrado nestes documentos já está sendo preparado para o camarada Kim Jong-un”, lia-se em uma das discussões vazadas nos fóruns do Qilin, insinuando que os hackers estavam compartilhando informações com a liderança do grupo da Coreia do Norte.
O Qilin rouba dados totalizando 2TB em três ondas
A operação Korean Leaks, de acordo com a Bitdefender, ocorreu em três ondas que resultaram no roubo de mais de 1 milhão de arquivos e 2 TB de dados de 28 vítimas conhecidas. Postagens vinculadas a quatro entidades adicionais foram posteriormente removidas do site de vazamento de dados, o que pode ter sido resultado de pagamentos de resgate ou decisões internas dos operadores.
A primeira onda foi publicada em 14 de setembro e incluiu 10 vítimas do setor de gestão financeira. A segunda onda ocorreu entre 17 e 19 de setembro, adicionando mais nove casos, enquanto a terceira foi lançada entre 28 de setembro e 4 de outubro, atingindo outras nove organizações.
“Temos dados de dezenas de empresas. O Korean Leak é um motivo para retirar dinheiro do mercado de ações do país, porque temos um volume de dados cuja publicação certamente causará um sério golpe a todo o mercado coreano. E nós definitivamente faremos isso”, lia-se em uma das ameaças dos hackers durante a segunda onda.
A Bitdefender disse que os atacantes enquadraram a campanha como um esforço para expor a corrupção, incluindo ameaças de liberar documentos que poderiam ser “provas de manipulação do mercado de ações” e nomes de “políticos e empresários bem conhecidos na Coreia.”
Em 23 de setembro, a publicação de notícias coreana JoongAng Daily relatou que mais de 20 empresas de gestão de ativos haviam sido infectadas por ransomware após a violação de um provedor de serviços chamado GJTec.
Não apenas leia notícias sobre criptomoedas. Entenda-as. Inscreva-se em nossa newsletter. É grátis.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Florence Muchai
Florence cobre notícias sobre criptoativos, jogos, tecnologia e IA há 6 anos. Sua graduação em Estudos de Computação na Meru University of Science and Technology e em Gestão de Desastres e Diplomacia Internacional no MMUST equipam-na plenamente com habilidades linguísticas, de observação e técnicas. Florence trabalhou no VAP Group e como editora em várias casas de mídia de criptoativos.
