Fri, 24 Jul 2026
← VoltarDescobriu-se que os atores de ameaças norte-coreanos por trás das campanhas do estilo ClickFix que empregam domínios typosquatted do Zoom e do Microsoft Teams operam
Descobriu-se que os agentes de ameaças norte-coreanos por trás das campanhas do estilo ClickFix que empregam domínios Zoom e Microsoft Teams com erros de digitação operam um kit de phishing ativo para se passar por plataformas de videoconferência em campanhas de engenharia social projetadas para distribuir malware. “A BlueNoroff operacionalizou o abuso de confiança combinando contatos comprometidos da indústria, engenharia social, reconhecimento de carteira e entrega de malware em um pipeline repetível de aquisição de vítimas”, disse JUMPSEC em um relatório detalhado compartilhado com The Hacker News. “A plataforma traça o perfil das carteiras de criptomoedas das vítimas antes da entrega do malware, permitindo o direcionamento seletivo de vítimas de alto valor.” Descrevendo a campanha como uma plataforma de aquisição de vítimas conduzida por operadores, a empresa de segurança cibernética observou que a atividade envolve o uso de contatos confiáveis comprometidos como vetor de acesso inicial para criar uma cadeia de ataque autopropagada via Telegram. Os detalhes da atividade foram documentados em detalhes desde o início de 2025, com Sekoia rastreando um segundo cluster de ameaças relacionado à Coreia do Norte sob o apelido ClickFake Interview devido ao uso de iscas do tipo ClickFix para enganar alvos desavisados para executar comandos maliciosos sob o pretexto de resolver problemas de câmera ou áudio.
De acordo com o JUMPSEC, os links de isca são distribuídos a partir de uma conta em que o alvo já confia e que encontrou na vida real, com os invasores sequestrando contas legítimas do Telegram de indivíduos no espaço das criptomoedas para enviar mensagens a funcionários de alto escalão de grandes empresas e compartilhar um link de reunião do Calendly. “Cada vítima que executa a carga útil com o Telegram Web aberto ou o Telegram Desktop instalado é um candidato para que sua sessão do Telegram seja roubada e reutilizada em seus próprios contatos”, disse JUMPSEC, descrevendo a natureza autossustentável da campanha e como o comprometimento de uma conta alimenta a próxima. O link do Calendly leva a vítima ao que parece ser uma URL de reunião do Zoom, mas, na realidade, é um domínio falso que se faz passar pelo serviço de videoconferência. Os usuários que acessam a página de phishing são solicitados a inserir seus nomes e conceder permissões para acessar a webcam.
No entanto, uma vez fornecidas as permissões, o stream da webcam é enviado furtivamente para o painel dos operadores via mediasoup WebRTC. Na fase final, após a vítima entrar na reunião, é-lhe mostrada outra página onde parece estar sozinha numa chamada Zoom, juntamente com a mensagem “aguardando outros participantes”. Isso prepara o terreno para a próxima fase do ataque. “Depois que a vítima entrar, o operador pode continuar a usar seu painel para controlar a reunião, enviar mensagens falsas de ‘seu microfone não está funcionando’ e acionar a ‘atualização do Zoom SDK’, resultando na carga útil do ClickFix”, disse JUMPSEC.
Simultaneamente, o kit executa uma etapa de impressão digital no navegador da web para inventariar as carteiras de criptomoedas instaladas nele, após o que o “administrador” entra na reunião falsa. A diferença aqui é que o vídeo que a vítima vê não é uma transmissão ao vivo, mas sim um vídeo pré-editado que apresenta fotos na cabeça geradas por IA, criadas usando OpenAI ChatGPT e sobrepostas a movimentos corporais autênticos capturados durante reuniões anteriores. “Portanto, cada ataque bem-sucedido alimenta materiais de origem nos compostos usados contra o próximo alvo”, explicou JUMPSEC. “Isso combinado com o método de controle de conta do Telegram significa que a reunião falsa mostra um rosto de aparência plausivelmente familiar, movendo-se com a linguagem corporal de alguém que foi realmente capturado pela câmera.” A empresa de segurança cibernética disse que capturou duas variantes distintas de isca, cada uma para Zoom e Microsoft Teams.
A variante Teams é avaliada como mais refinada do que a versão Zoom, suportando reação de emoji, bloqueio de dispositivos móveis/tablets e investigações avançadas de carteira antes da entrega de malware. As cadeias de ataque ClickFix são compatíveis com Windows e macOS. Uma breve descrição de cada um deles é a seguinte - Uma análise mais aprofundada determinou que o Telegram exfi A função de filtragem codifica o token do bot e o ID do bate-papo no binário do ladrão. Consultar a API do Telegram em busca do token do bot vinculou-o a um operador chamado “John” (@alchemy_john_mac).
Recentemente, em maio de 2026, o indivíduo foi observado perguntando aos administradores do grupo de criptomoeda MAIV sobre contratos de aquisição e retirada de seus fundos. Além disso, um exame da infraestrutura dos atores da ameaça levou à descoberta de cinco versões distintas do kit de phishing de 31 de maio a 14 de julho de 2026, indicando esforços ativos de desenvolvimento e ajuste fino. Um aspecto notável da campanha é seu foco específico em iscas relacionadas ao Zoom e Teams, em oposição, digamos, ao Google Meet. Sean Moran, chefe de pesquisa e capacitação de ameaças da JUMPSEC, disse ao The Hacker News que há três razões possíveis por trás desse comportamento: pretexto ClickFix, ajustes do aplicativo Target e superfície de typosquatting - "O gancho inteiro é o 'Zoom/Teams SDK desatualizado' - que só chega a plataformas que as vítimas acreditam ter um cliente de desktop pesado (como o Teams e o Zoom).
Mas o Google Meet não tem um aplicativo de desktop e prioriza o navegador, então ele realmente não faz sentido lá. Zoom e equipes são o padrão para muitos fundadores / capitalistas de risco no mundo financeiro - enquanto o Google Meet parece mais uma plataforma de chamadas de clientes do que uma "chamada de investidor/parceria". typosquat/spoof." Moran também apontou que, embora o kit de phishing atualmente forneça apenas páginas de atração do Zoom e do Teams, existe um equivalente do Google Meet como um esboço não implementado no código-fonte. Isto, acrescentou, é provavelmente uma escolha deliberada pelos factores acima mencionados e pelo facto de a actual configuração estar a funcionar activamente.
"As implicações vão além desta campanha específica. À medida que a Web3 e os ativos digitais continuam a amadurecer, os atores da ameaça reconhecem cada vez mais que comprometer os indivíduos que controlam o acesso pode ser tão valioso quanto atacar a própria infraestrutura", concluiu o JUMPSEC. "O aperfeiçoamento contínuo da BlueNoroff demonstra que as organizações devem considerar a identidade, os relacionamentos e os canais de comunicação como partes críticas da sua postura de segurança." Saiba como 300 líderes empresariais estão gerenciando riscos de código aberto orientados por IA, remediação de dívidas e governança em escala. Aprenda como controlar riscos, proteger software criado por IA e manter o controle à medida que o desenvolvimento avança na velocidade da máquina.
Receba as últimas notícias, insights de especialistas, recursos exclusivos e estratégias de líderes do setor, tudo gratuitamente.