Hackers Norte-Coreanos Continuam o Ataque a Ativos Digitais

Enquanto hackers estatais iranianos realizaram ataques de ransomware e mineração de criptomoedas, e entende‑se que a Rússia utiliza grupos privados de ransomware em algumas capacidades, o governo norte‑coreano é o único grande adversário que inclui o cibercrime financeiro em suas atividades ofensivas como objetivo central.

O programa de cibercrime da Coreia do Norte tem múltiplas frentes, com táticas que vão de assaltos a bancos a implantação de ransomware e roubo de criptomoedas de exchanges online.

Conhecidos como Lazarus, Kimsuky e BeagleBoyz, os hackers norte‑coreanos utilizam ferramentas cada vez mais sofisticadas para penetrar redes militares, governamentais, corporativas e da indústria de defesa em todo o mundo, realizando ciberespionagem e exfiltrando dados classificados para auxiliar no desenvolvimento de armas norte‑coreanas.

Os agentes maliciosos enganaram indivíduos para obter acesso ou comprometeram a segurança para drenar fundos digitais de carteiras conectadas à internet para endereços controlados pela Coreia do Norte. A nação, sob sanções, recorreu a formas elaboradas de lavar criptomoedas roubadas, intensificando o uso de ferramentas de software que agregam e embaralham criptomoedas de milhares de endereços.

No ano passado, o Departamento de Justiça dos Estados Unidos acusou três programadores norte‑coreanos de participarem de uma conspiração criminal de amplo alcance para realizar uma série de ataques cibernéticos destrutivos, roubando e extorquindo mais de US$ 1,3 bilhão em dinheiro e criptomoedas de instituições financeiras e empresas, criando e implantando múltiplas aplicações maliciosas de criptomoedas e desenvolvendo e comercializando fraudulentamente uma plataforma blockchain.

In fact, North Korea’s attack on crypto is ever going, having amassed over a billion since the last bull market.

$1,2 bi roubados desde 2017

Na semana passada, o Serviço de Inteligência Nacional (NIS) da Coreia do Sul publicou um novo relatório observando que hackers norte‑coreanos roubaram cerca de 1,5 trilhão de won (US$ 1,2 bilhão) em criptomoedas nos últimos cinco anos. Mais da metade desse valor ocorreu apenas neste ano, e apenas US$ 78 milhões dessa enorme soma vieram da Coreia do Sul.

De acordo com a agência de espionagem sul‑coreana, mais de 800 bilhões de won coreanos (US$ 620 milhões) em criptomoedas foram roubados apenas neste ano. Comentando o assunto, um porta‑voz do NIS afirmou que todo esse ataque ocorreu no exterior, acrescentando: “Na Coreia, as transações de ativos virtuais foram convertidas para transações com nome real, e a segurança foi reforçada, portanto não há danos.”

Para quem não conhece esse desenvolvimento, em 2021 o governo sul‑coreano implementou novas regras sobre KYC (conheça seu cliente) para negociação de criptomoedas. Elas exigem que todas as exchanges de criptomoedas no país façam com que seus clientes criem uma conta em nome real no mesmo banco que utilizam para depositar ou retirar fundos.

E tanto a exchange quanto o banco são então obrigados a verificar a identidade do cliente. Além disso, as exchanges devem obter uma licença da Comissão de Serviços Financeiros (FSC) antes de iniciar as operações.

Grupos de hackers norte‑coreanos foram vinculados a várias brechas de criptomoedas em larga escala este ano — incluindo o ataque de US$ 100 milhões à Harmony. Especialistas sugerem que esses ataques são uma forma de a nação gerar reservas de moeda estrangeira, já que enfrenta sanções comerciais rigorosas da comunidade internacional.

Segundo o NIS, a Coreia do Norte possui algumas das melhores capacidades de roubo de ativos digitais do mundo. Isso se deve ao foco do país no cibercrime desde 2017, quando as sanções econômicas da ONU foram endurecidas em resposta aos seus testes nucleares e de mísseis.

A agência também alertou que os ciberataques norte‑coreanos se intensificarão no próximo ano: “É necessário analisar os ataques tão de perto quanto as defesas. Porque uma organização de hackers possui todas as informações de ataque e não as esquece. É preciso reunir informações relacionadas a códigos maliciosos espalhados por vários atacantes para encontrar insights significativos.”

Hackers da Coreia do Norte empregam as táticas habituais usadas por outros grupos de hacking de Estado-nação e cibercriminosos, incluindo engenharia social, phishing e exploração de vulnerabilidades de software.

Testando Novos Métodos de Distribuição de Malware

O subgrupo BlueNoroff do Lazarus é conhecido por implantar um arsenal diversificado de malware em ataques multifacetados contra empresas para obter fundos de forma ilícita. Inclui uma combinação de táticas sofisticadas de phishing e malware para lavar dinheiro.

De acordo com o relatório do laboratório de segurança cibernética Kaspersky desta semana, a BlueNoroff renovou seu foco em empresas de capital de risco, startups de criptomoedas e bancos após ficar silenciosa durante a maior parte do ano. O grupo agora está apresentando um aumento na atividade.

A BlueNoroff criou mais de 70 domínios falsos projetados para se parecerem com empresas de capital de risco. A maioria dos falsos se apresenta como empresas japonesas bem‑conhecidas, enquanto outros assumiram a identidade de empresas dos EUA e do Vietnã.

Segundo um relatório recente, o grupo tem experimentado novos tipos de arquivos e outros métodos de entrega de malware. Uma vez em vigor, seu malware pode contornar os avisos de segurança do Windows Mark‑of‑the‑Web (MoTW) sobre download de conteúdo. Em seguida, ele “intercepta grandes transferências de criptomoedas, alterando o endereço do destinatário e elevando o valor da transferência ao limite, essencialmente drenando a conta em uma única transação.”

À medida que as ameaças cibernéticas pioram, as empresas precisam estar mais vigilantes do que nunca para se protegerem. Isso, segundo Seongsu Park, pesquisador da Kaspersky, que alerta que “o próximo ano será marcado por epidemias cibernéticas com o maior impacto, cuja força nunca foi vista antes.”

Operadores associados ao sub‑grupo Lazarus BlueNoroff foram vinculados a vários ciberataques direcionados a pequenas e médias empresas em todo o mundo. Até os NFTs não estão fora do radar do grupo de hackers, já que agentes de ameaça norte‑coreanos associados ao Lazarus Group têm tentado roubar tokens não fungíveis nas últimas semanas.

Roubos de NFTs via Phishing

A empresa de segurança de blockchain SlowMist publicou um relatório no final da semana passada que mergulhou nas atividades de phishing em larga escala realizadas por grupos APT norte‑coreanos que visam usuários de NFT.

A SlowMist constatou que uma das técnicas usadas em um ataque de phishing recente envolvia a criação de sites falsos relacionados a NFTs com Mints maliciosos. Esses NFTs foram então vendidos em plataformas populares como OpenSea, Rarible e X2Y2.

O grupo de Ameaça Persistente Avançada (APT) foi identificado como TraderTraitor pelo governo dos EUA já em 2020, e ele visou usuários de criptomoedas e NFTs com uma campanha de phishing usando até 500 nomes de domínio diferentes.

As características únicas de phishing comumente usadas por esses hackers envolviam sites de phishing que registravam dados dos visitantes e os salvavam em sites externos, solicitavam uma lista de preços de itens NFT e um arquivo “imgSrc.js” que vinculava imagens ao projeto alvo.

Ao analisar os métodos de phishing, a SlowMist constatou ainda que os hackers utilizaram múltiplos tokens, como WETH, USDC, DAI e UNI, entre outros, em seus ataques de phishing.

Maior Ataque ao Ronin

No início deste ano, o Lazarus Group também conseguiu desviar mais de US$ 600 milhões em criptomoedas da blockchain Ronin usada pelo jogo NFT Axie Infinity. A empresa de análise de blockchain Chainalysis chamou o ataque de maior hack de criptomoedas até agora.

Criado por um estúdio de jogos vietnamita, o Axie Infinity chegou a ter mais de um milhão de jogadores ativos. No início deste ano, a blockchain que sustenta o mundo virtual do jogo foi invadida por um sindicato de hackers norte‑coreanos, que fugiu com cerca de US$ 620 milhões em Ethereum.

Apenas cerca de US$ 30 milhões do saque de criptomoedas foi recuperado desde então, após uma aliança de agências de aplicação da lei e empresas de análise de criptomoedas rastrear parte dos fundos roubados por meio de uma série de DEXs e “misturadores de cripto”, um serviço que mistura as criptomoedas de muitos usuários para ofuscar os proprietários e a origem dos fundos.

Os EUA sancionaram desde então o misturador Tornado Cash, que o Tesouro dos EUA afirmou ter sido usado pelos hackers para lavar mais de US$ 450 milhões de sua captura de Ethereum.

Startups de Investimento em Cripto Também Alvo

Em meio a todos esses ataques, a Microsoft (MSFT ) anunciou no início deste mês que identificou um agente de ameaça que visa startups de investimento em criptomoedas. O grupo, que a Microsoft chamou de DEV-0139, se apresenta como uma empresa de investimento em criptomoedas no Telegram e usa um arquivo Excel armado para infectar sistemas que acessa remotamente.

A ameaça demonstrou um alto nível de sofisticação, identificando‑se falsamente com perfis falsos de funcionários da OKX e ingressando em grupos do Telegram “usados para facilitar a comunicação entre clientes VIP e plataformas de exchange de criptomoedas,” escreveu a Microsoft.

Estamos observando um aumento em ataques sofisticados onde o agente de ameaça é muito experiente e dedicou tempo para se preparar, frequentemente construindo confiança com seu alvo antes de implantar cargas úteis, observou ainda.

Por exemplo, alguns meses atrás, um alvo foi convidado a entrar em um grupo e solicitado a dar feedback sobre um documento Excel que comparava as estruturas de taxas VIP das exchanges de criptomoedas HTX, Binance e OKX. O documento fornecia informações precisas e grande conhecimento sobre negociação de criptomoedas, mas também carregava invisivelmente um arquivo .dll (Dynamic Link Library) malicioso para criar uma porta traseira no sistema do usuário. O alvo foi então solicitado a abrir o arquivo malicioso ele mesmo durante a discussão.

A Microsoft sugeriu que o DEV-0139 é o mesmo agente que a empresa de segurança cibernética Volexity vinculou ao Lazarus Group, usando uma variante do malware AppleJeus e um instalador da Microsoft (MSI).

Em 2021, o AppleJeus foi documentado pela Agência Federal de Segurança Cibernética e Infraestrutura dos Estados Unidos.

Um Crescimento Contínuo nos Ataques a Criptomoedas

Na verdade, houve um aumento recente no tamanho dos ataques de criptomoedas realizados pelo governo norte‑coreano, segundo a Chainalysis.

O Lazarus Group foi vinculado a sete ataques a plataformas de criptomoedas, que renderam quase US$ 400 milhões em ativos digitais apenas em 2021, comparado a US$ 300 milhões em 2020, de acordo com um relatório da empresa de análise de blockchain.

Em um de seus anos mais bem‑sucedidos registrados, o número de ataques vinculados à Coreia do Norte saltou de quatro para sete em 2021, enquanto o valor extraído desses ataques cresceu 40%.

Segundo o relatório, assim que a Coreia do Norte obteve a custódia dos fundos, iniciou imediatamente um processo cuidadoso de lavagem do dinheiro para convertê‑los em caixa sem ser detectada.

Embora a Chainalysis não tenha identificado todos os alvos dos hacks de criptomoedas, afirmou que eram principalmente empresas de investimento e exchanges centralizadas. Além disso, uma dessas exchanges, a Liquid.com, anunciou em agosto que um usuário não autorizado havia obtido acesso a algumas de suas carteiras de criptomoedas.

De acordo com a Chainalysis, os atacantes usaram iscas de phishing, malware, exploits de código e engenharia social avançada para desviar fundos das “hot wallets” dessas organizações para endereços controlados pela Coreia do Norte.

O relatório ainda afirmou que os pesquisadores identificaram US$ 170 milhões em reservas antigas de criptomoedas não lavadas provenientes de 49 hacks distintos entre 2017 e 2021, sugerindo um plano cuidadoso para convertê‑los em caixa, “não um plano desesperado e precipitado”.

Nota Final

Espera‑se que os hackers continuem explorando as vulnerabilidades de empresas de tecnologia de criptomoedas, empresas de jogos e exchanges para gerar e lavar fundos em apoio ao regime norte‑coreano.

É evidente que este é um problema sério, já que a Coreia do Norte tem histórico de usar ataques cibernéticos para roubar fundos que sustentam seu programa de armas nucleares. Isso destaca a importância da cibersegurança, especialmente para empresas e organizações que podem ser alvos de hackers patrocinados por Estados.

Embora o governo norte‑coreano tenha negado envolvimento em tais atividades, as evidências sugerem que os hackers operam com a bênção do regime. Dada essa ameaça contínua representada pelos hackers norte‑coreanos, empresas e indivíduos devem permanecer vigilantes e tomar medidas para proteger seus ativos digitais.