Hackers BlueNoroff da Coreia do Norte usaram chamadas falsas no Zoom e deepfakes de IA para invadir uma empresa cripto e comprometer mais de 100 executivos Web3 em todo o mundo.
Principais pontos
- O BlueNoroff se passou por um advogado de fintech, enviou um convite de calendário adulterado e direcionou o alvo para uma chamada falsa no Zoom.
- Um truque de área de transferência ClickFix executou PowerShell sem arquivo que capturou credenciais e dados de carteiras cripto em menos de cinco minutos.
- Imagens de webcam roubadas alimentaram deepfakes de IA que se passavam por vítimas anteriores para fisgar a próxima rodada de alvos.
BlueNoroff sequestra chamadas no Zoom para esvaziar carteiras
Pesquisadores da Arctic Wolf rastrearam a intrusão de meses até o BlueNoroff, um braço financeiramente motivado do Lazarus Group da Coreia do Norte. A campanha atingiu uma empresa Web3 norte-americana em 23 de janeiro de 2026, e os operadores mantiveram acesso silenciosamente por 66 dias. Fingindo ser um executivo jurídico de uma empresa de fintech, o atacante enviou um convite do Calendly para uma ligação de acompanhamento de rotina marcada para cinco meses à frente.
Depois que o alvo confirmou, a reserva trocou o link do Google Meet por um endereço do Zoom com erro de digitação que parecia quase idêntico ao verdadeiro. A telemetria posteriormente mostrou a vítima clicando no link malicioso três vezes em quatro minutos, convencida de que o software estava apenas com falhas.
Veja também: Bitcoin cai abaixo de US$ 59 mil com retorno do temor sobre juros do Fed ao mercado cripto
Prompt ClickFix instala PowerShell sem arquivo
Dentro da reunião falsa, um pop-up afirmava que o SDK do Zoom precisava de atualização e oferecia uma correção rápida, uma artimanha conhecida como ClickFix. Quando a vítima copiou os comandos fornecidos, a página silenciosamente reescreveu a área de transferência e injetou uma carga oculta em PowerShell. Esse único colar deu ao atacante uma posição inicial sem que qualquer arquivo tocasse o disco.
O implante então se comunicou com um servidor remoto, coletando logins de navegador e dados de carteiras cripto, e capturou sessões ativas do Telegram que foram posteriormente reutilizadas para abordar novos alvos a partir de contas confiáveis. Do primeiro clique até a completa violação do sistema, toda a cadeia ocorreu em menos de cinco minutos, um comprometimento incomumente rápido.
Deepfakes reciclam vítimas para fisgar novos alvos
As chamadas falsas pareciam convincentes porque cada quadro de participante exibia imagens de webcam roubadas, fotos de rosto geradas por IA ou vídeos compostos deepfake, extraídos de uma biblioteca com mais de 100 vítimas anteriores em 20 países. Investigadores vincularam os rostos sintéticos ao modelo GPT-4o da OpenAI e rastrearam a edição até um operador que deixou o nome de usuário do macOS "king" nos metadados. Cada rosto roubado então alimentava o próximo golpe, de modo que cada violação tornava o ataque seguinte mais difícil de detectar.
Os Estados Unidos responderam por 41% dos identificados, com Singapura e Reino Unido em seguida. Cerca de 80% trabalhavam com cripto, finanças em blockchain ou funções de investimento relacionadas, e fundadores ou diretores‑executivos representavam quase metade.
O BlueNoroff não é novato nesse tipo de operação. O grupo veio à tona durante o assalto ao Banco de Bangladesh em 2016, quando movimentou US$ 81 milhões, e depois migrou para o setor cripto com sua longa operação SnatchCrypto. Esta campanha mostra que o mesmo manual agora roda com IA, elevando o nível para todas as equipes cripto que tentam se defender.
Leia a seguir: AAVE supera o Bitcoin com volta da narrativa de empréstimos DeFi