Atores de ameaças ligados à Coreia do Norte operam uma infraestrutura de engenharia social que abusa da confiança em contatos do Telegram e valida alvos financeiros via fingerprinting de navegador antes da execução de payloads.
| Componente | Navegadores web (Chrome, Edge, Firefox), clientes de videoconferência (Zoom, Teams), aplicativo Telegram e extensões de carteiras cripto. |
| Vetor | Links de phishing distribuídos via contatos comprometidos no Telegram, explorando a confiança social e incentivos falsos de atualização de 'SDK' ou correção de áudio/vídeo. |
| Impacto | Comprometimento de sessões do Telegram, exfiltração de chaves de carteira cripto, bypass de soluções de antivírus nativas e instalação persistente de malware em Windows e macOS. |
| Prioridade | Validação rigorosa de links de reunião por canais alternativos, bloqueio de domínios suspeitos e monitoramento de tentativas de modificação de configurações de segurança no endpoint. |
Uma campanha ativa atribuída ao grupo de ameaças BlueNoroff, vinculado à Coreia do Norte, foi identificada utilizando um kit de phishing sofisticado que combina engenharia social, comprometimento de identidade e reconhecimento financeiro. A operação utiliza uma plataforma de aquisição de vítimas conduzida por operadores, onde contas legítimas do Telegram de indivíduos no espaço das criptomoedas são sequestradas para distribuir links maliciosos para contatos de alto valor, como funcionários de empresas grandes e investidores. O diferencial tático deste ataque reside na capacidade do kit de realizar um perfilamento da vítima antes da entrega da carga maliciosa, identificando a presença de extensões de carteiras de criptomoedas no navegador do alvo para determinar o valor potencial do alvo.
A infraestrutura de ataque, rastreada desde o início de 2025, demonstra evolução contínua, com cinco versões distintas do kit de phishing identificadas entre maio e julho de 2026. A campanha emprega a técnica conhecida como ClickFix, onde a vítima é enganada a executar comandos sob o pretexto de resolver problemas técnicos em uma chamada de vídeo falsa. Pesquisas de segurança indicam que os operadores por trás da campanha, identificados por aliases como 'John', estão贵 ativamente envolvidos em comunidades de criptomoedas para entender a dinâmica de fundos e contratos, refinando a precisão dos ataques. O ciclo de ataque é autopropagante: cada sessão do Telegram comprometida torna-se um vetor para novos ataques contra a rede de contatos da vítima anterior, criando uma cadeia de confiança abusada.
A iniciação do ataque ocorre quando um alvo recebe uma mensagem de um contato conhecido no Telegram cuja conta foi comprometida. A mensagem contém um link para um agendamento, supostamente via Calendly, direcionando o usuário a um URL que imita uma reunião do Zoom ou Microsoft Teams. Este domínio utiliza typosquatting para parecer legítimo. Ao acessar a página, a vítima é solicitada a inserir o nome e conceder permissão à webcam. Técnicamente, uma vez concedida, a permissão permite que o fluxo de vídeo seja transmitido secretamente para o painel dos operadores via protocolo WebRTC (mediasoup), permitindo vigilância em tempo real sem o consentimento explícito contínuo do usuário.
Após a entrada na 'reunião', a vítima é apresentada a uma interface simulada com a mensagem 'aguardando outros participantes'. Neste estágio, o operador assume o controle do painel para enviar mensagens falsas, como 'seu microfone não está funcionando', e aciona o elemento de engenharia social central: um aviso de 'Zoom SDK Update' ou atualização similar. A aceita deste disparo gera um comando ClickFix. Paralelamente, o kit executa uma etapa de fingerprinting no navegador, inventariando as extensões instaladas (Chrome, Edge, Firefox) para verificar a presença de carteiras como MetaMask. Dependendo do sistema operacional, a cadeia de execução diverge: no Windows, um carregador em PowerShell baixa e executa um VBScript; no macOS, um script de shell baixa um instalador falso da plataforma de videoconferência.
No ambiente Windows, o script realiza alterações defensivas ofensivas, desabilitando o Microsoft Defender, adicionando a pasta 'C:\Users' aos caminhos de exclusão e forçando a reinicialização do serviço de antivírus para aplicar as exceções imediatamente. O implantador então enumera as extensões dos navegadores e relata os IDs correspondentes aos atacantes. Se o alvo for validado como detentor de carteiras digitais, payloads adicionais são entregues. No macOS, o instalador malicioso executa a carga principal de stealer para extrair metadados do sistema e chaves mestras do Google Chrome armazenadas no iCloud Keychain, exfiltrando os dados via um canal no Telegram.
Os alvos primários são profissionais e entidades do setor financeiro, criptoativos e capital de risco que utilizam frequentemente plataformas de videoconferência para reuniões de negócios. A escolha de Zoom e Microsoft Teams em detrimento de outras soluções, como Google Meet, é estratégica, explorando a percepção de 'peso corporativo' desses clientes e a facilidade de typosquatting de suas estruturas de subdomínios. A superfície expande-se para qualquer usuário que utilize o Telegram Web ou Desktop, pois a técnica de sequestro de sessão permite que o ataque se propague horizontalmente através da lista de contatos da vítima.
Ambientes corporativos que permitem a execução de scripts PowerShell sem restrições rígidas ou que não possuem monitoramento de modificações no registro de antivírus estão significativamente expostos. Da mesma forma, usuários de macOS que baixam instaladores de fontes não verificadas estão em risco. A presença de extensões de carteiras cripto em navegadores corporativos, mesmo que para fins legítimos de tesouraria ou DeFi, sinaliza o sistema como de alto valor para o grupo, aumentando a probabilidade de escalonamento do ataque.
- Profissionais de criptomoeda, venture capital e fintech.
- Usuários de Telegram em conjunto com Zoom/Teams.
- Sistemas Windows e macOS com navegadores baseados em Chromium.
- Ambientes sem restrições de execução de PowerShell/Shell.
Equipes de segurança devem procurar indicadores de comprometimento ligados a processos do navegador que estabelecem conexões WebRTC inexplicáveis para domínios não associados à infraestrutura legítima da empresa. No nível de endpoint, a criação de scripts PowerShell que fazem chamadas para APIs externas ou que adicionam diretórios de usuário às exclusões do Defender é um sinal crítico de alerta. A telemetria de rede deve ser monitorada para detectar acessos a domínios com formatos suspeitos que imitam estruturas de Zoom ou Teams, utilizando TLDs estranhos ou erros ortográficos sutis (typosquatting).
A atividade no Telegram deve ser correlacionada com atividades de sistema; a presença de sessões ativas simultâneas em locais geograficamente distintos ou o acesso a tokens de bot do Telegram pode indicar o uso da ferramenta de exfiltração 'Aurora'. Investigadores também devem auditar extensões de navegador instaladas recentemente ou desconhecidas solicitando permissões excessivas sobre páginas de web3 ou cartões de crédito.
- Processos PowerShell ou Shell baixando e executando scripts ofuscados de origem desconhecida.
- Modificações no registro de configurações do Microsoft Defender, especificamente adições de exclusões em 'C:\Users'.
- Tráfego WebRTC para endereços IP não classificados ou suspeitos iniciado por páginas de videoconferência.
- Tentativas de acesso a chaves mestras do Chrome ou dados do iCloud Keychain por binários não assinados.
A resposta a essa ameaça deve começar com a validação de identidade e contexto. Organizações devem instruir funcionários a verificarem convites de reunião, especialmente aqueles recebidos via canais informais como Telegram, através de um segundo canal de comunicação (e.g., chamada telefônica ou e-mail corporativo verificado). A restrição da execução de políticas de scripts, impondo o modo de linguagem restrito (Constrained Language Mode) no PowerShell e assinaturas obrigatórias para scripts, pode interromper a cadeia de ataque no Windows. No macOS, a implementação de Gatekeeper estrito e a quarentena de aplicativos baixados da internet são essenciais.
Tecnicamente, soluções EDR devem ser configuradas para alertar sobre tentativas de desabilitar ou modificar proteções de segurança. A implementação de filtros de DNS e proxy que bloqueiam categorias de phishing e domínios recém-registrados pode interceptar o estágio inicial de entrega. Por fim, a conscientização sobre a técnica de 'sequestro de conta de amigo' em plataformas de mensagens instantâneas é vital, reduzindo a eficácia do vetor de engenharia social.
- Verificar a autenticidade de links de reunião via canais alternativos oficiais.
- Restringir a execução de PowerShell e bloquear scripts VBScript não assinados.
- Implementar filtragem de DNS/Web para bloquear domínios de typosquatting de provedores de videoconferência.
- Monitorar e bloquear tentativas de alteração de configurações do Microsoft Defender.
0 Comentários