A BlueNoroff faz a varredura a carteiras cripto em chamadas falsas do Zoom, realizando um “envenenamento” malicioso de forma seletiva

A empresa de segurança britânica JUMPSEC publicou esta semana um relatório de análise do código-fonte, que revela o mais recente padrão de ataque do grupo de hackers norte-coreano BlueNoroff: em chamadas falsas de Zoom e Microsoft Teams, utiliza o padrão EIP-6963 e tecnologias tradicionais do navegador para fazer a varredura às carteiras criptográficas dos utilizadores-alvo, escolhe depois alvos de maior valor com base no valor das carteiras e, por fim, injeta seletivamente malware.

Fluxo do ataque de chamadas de vídeo falsas da BlueNoroff

Com base na análise do código-fonte da JUMPSEC, o processo completo de ataque da BlueNoroff é o seguinte:

· O atacante assume o controlo da conta Telegram de um contacto na área das criptomoedas do alvo e envia um convite de reunião falso no Calendly, cuja ligação aponta para um domínio falso de reunião com um erro ortográfico

· Depois de a vítima aceder à página da reunião falsa, o kit de ferramentas utiliza imediatamente a varredura do navegador com o padrão EIP-6963 (procurando ligações à Ethereum), ao mesmo tempo que deteta carteiras não-EVM (como ferramentas da Solana). Os resultados da varredura são enviados para um painel de controlo controlado pelo operador, sem que a vítima tenha conhecimento durante todo o processo

· Após o início da chamada, a página mostra “A aguardar outros participantes”, enquanto o operador reproduz um vídeo gravado previamente; a IA gera avatares combinando-os com os movimentos corporais capturados anteriormente e informa a vítima “o seu microfone não funciona”

· Com base nos dados da carteira no painel de controlo, o operador decide se deve injetar malware; surge então um falso aviso de “Atualização do Zoom SDK”, para induzir a vítima a executá-lo

· Cada conta que é comprometida acaba por apontar para outros contactos na área das criptomoedas desse mesmo contacto, criando uma cadeia de alvos de ataque

Malware diferenciado para Windows e macOS

Com base na análise técnica da JUMPSEC, o BlueNoroff utiliza o seguinte malware em diferentes sistemas:

Windows: um comando ClickFix copiado inicia um pequeno processo de carregamento PowerShell; depois de descarregar um script VBScript, adiciona o Microsoft Defender à lista de exclusões e reinicia-o para que a alteração fique permanentemente ativa. A carga útil recolhe informação do sistema, faz a varredura às extensões das carteiras do navegador (incluindo listas de IDs das extensões de Chrome, Edge, Brave, Opera, Vivaldi e Firefox), compara com extensões de carteiras conhecidas como a MetaMask e procura ficheiros do Telegram Web

macOS: injeta um programa de instalação falsificado do Zoom ou das Teams; um roubo executado em segundo plano, silenciosamente, extrai dados do sistema e a chave principal do Chrome a partir do “Keychain” da Apple e envia-os para o atacante via Telegram

A JUMPSEC detetou quatro versões do macOS entre 22 de abril e 15 de julho; a Arctic Wolf e a JUMPSEC detetaram cinco versões de kits de phishing entre 31 de maio e 14 de julho. Estes kits conseguem comprometer totalmente o sistema em menos de cinco minutos.

Perguntas frequentes

Como é que o BlueNoroff faz a varredura das carteiras criptográficas nas chamadas falsas?

Com base na análise do código-fonte da JUMPSEC, o kit BlueNoroff utiliza o padrão EIP-6963 e tecnologias tradicionais do navegador para fazer a varredura das ligações Ethereum do alvo, ao mesmo tempo que deteta carteiras não-EVM como a Solana. Os resultados da varredura são enviados em tempo real para o painel de controlo do operador, sem que a vítima tenha conhecimento durante todo o processo.

Quais são os principais alvos do ataque do BlueNoroff?

De acordo com as estatísticas da Arctic Wolf, 80% dos alvos trabalham na área das criptomoedas ou das finanças em cadeias de blocos, 45% são fundadores ou CEOs e 41% das vítimas estão nos Estados Unidos; até à publicação do relatório, já há mais de 100 vítimas em mais de 20 países.

Como é que os utilizadores macOS são infetados pelo BlueNoroff?

De acordo com a análise da JUMPSEC, os utilizadores macOS são infetados ao clicarem num programa de instalação falsificado do Zoom ou das Teams. O roubo em segundo plano extrai dados do sistema e a chave principal do Chrome a partir do Apple Keychain e envia-os ao atacante via Telegram.