O Federal Bureau of Investigation (FBI), a polícia federal dos Estados Unidos, concluiu que agentes ligados à República Popular Democrática da Coreia, também conhecida como Coreia do Norte, roubaram mais de US$ 400 milhões em criptomoedas nos últimos 18 meses, como parte de um esquema de engenharia social chamado FaceStealer.
Como parte de uma série coordenada de medidas anunciadas pelo governo dos Estados Unidos, a infraestrutura em nuvem usada na campanha, considerada difícil de detectar, foi apreendida.
Paralelamente, o Departamento de Justiça dos Estados Unidos (DoJ) anunciou a apreensão e o bloqueio, autorizados por um tribunal, de mais de US$ 1,2 bilhão em criptomoedas roubadas recentemente pelos agentes do grupo TraderTraitor, ligado à Coreia do Norte, após a invasão da corretora de criptomoedas Binance. Os ativos digitais roubados são usados para financiar o programa de armas ilícito de Pyongyang, acrescentou o DoJ.
"O regime norte-coreano depende dos lucros obtidos com roubos de criptomoedas em larga escala para financiar seu programa de armas ilícito, tendo roubado bilhões de dólares nos últimos anos", afirmou Brett Leatherman, diretor de operações da divisão cibernética do FBI, em um comunicado.
"Agentes cibernéticos norte-coreanos usaram a operação FaceStealer para atacar agressivamente pessoas dos setores de criptomoedas e Web3 com táticas enganosas de engenharia social, resultando no roubo de mais de US$ 400 milhões nos últimos 18 meses."
Segundo o Departamento de Justiça, a FaceStealer recorre a vídeos gravados sem o conhecimento das vítimas e a deepfakes para facilitar o roubo de criptomoedas. Alguns aspectos da atividade coincidem com uma campanha documentada pela Kaspersky em outubro de 2025, sob o nome GhostCall.
A atividade está ligada ao prolífico grupo de ameaças motivadas financeiramente associado à Coreia do Norte e conhecido como BlueNoroff. O grupo também é identificado pelos nomes APT38, CageyChameleon, CryptoCore, DangerousPassword, Nickel Gladstone, Sapphire Sleet, Stardust Chollima e UNC1069. A sigla APT significa ameaça persistente avançada.
A campanha atrai os alvos com convites para reuniões por vídeo enviados por contas roubadas de vítimas anteriores. O vídeo dos alvos que entram na reunião é gravado, enquanto um vídeo autêntico, previamente registrado, de uma ou mais vítimas conhecidas pelo alvo é exibido para ganhar sua confiança.
"Os hackers norte-coreanos também usam superinteligência (SI) para criar vídeos deepfake de pessoas conhecidas e influentes, muitas vezes dos setores de criptomoedas e Web3, tornando a operação FaceStealer ainda mais eficaz", afirmou o DoJ. "Mais uma vez, eles usam os vídeos deepfake nas reuniões com os alvos para conquistar sua confiança."
Poucos segundos depois do início da reunião, os criminosos simulam um problema técnico e dizem à vítima que não conseguem ouvi-la. Em seguida, enviam um link para resolver o problema inexistente. A suposta correção é uma isca no estilo ClickFix, criada para instalar malware no computador da vítima e roubar criptomoedas, além de explorar os privilégios do alvo para acessar outras infraestruturas computacionais.
Em um relatório detalhado enviado ao The Hacker News em julho de 2026, a JUMPSEC revelou que a operação de engenharia social se apoia em um kit de phishing criado para imitar plataformas de videoconferência como Zoom e Microsoft Teams. A empresa de cibersegurança descreveu a FaceStealer como uma plataforma de captação de vítimas que usa contatos de confiança comprometidos para alimentar uma cadeia de ataques que se propaga pelo Telegram.
Isso inclui o sequestro prolongado de contas em redes sociais e aplicativos de comunicação, como Telegram, LinkedIn, Slack e Discord, seguido do acesso à lista de contatos da vítima para atingir seus círculos pessoais e profissionais.
O ataque completo ocorre da seguinte forma:
- Comprometer uma vítima: os criminosos coletam carteiras de criptomoedas, frases-semente e outros dados de acesso valiosos; sequestram a conta da vítima no Telegram ou em outro aplicativo de comunicação e impedem que ela a acesse; obtêm acesso aos contatos e ao histórico de conversas; e a gravam secretamente durante uma videochamada.
- Explorar a conta da vítima no Telegram: o invasor se passa pela vítima e envia mensagens personalizadas aos contatos dela, propondo uma reunião pelo Zoom ou Teams sob o pretexto de discutir uma oportunidade de investimento.
- Organizar a reunião: se o alvo demonstrar interesse, o invasor envia pelo Telegram um convite do Calendly para marcar a videochamada. Pouco antes do horário combinado, a conta da vítima no Telegram é usada para enviar um link com erro proposital no endereço, que se faz passar por um endereço de reunião do Zoom ("uu01webzoom[.]us") ou do Teams ("teams.livemeet[.]us").
- Usar vídeos gravados: quando o alvo entra na reunião falsa do Zoom, o invasor exibe um vídeo de webcam já gravado do contato de confiança e outros vídeos, gravados ou criados com tecnologia deepfake, para dar a impressão de que há vários participantes. Além disso, imagens de perfil geradas com o ChatGPT, da OpenAI, são usadas como avatares estáticos nas chamadas falsas.
- Induzir o alvo a infectar o próprio dispositivo: o invasor envia uma mensagem dizendo que há um problema de áudio ou outro erro técnico, como um kit de desenvolvimento de software (SDK) do Zoom desatualizado, e pede que a vítima clique em um link para instalar uma atualização. Em outros casos, pode pedir que ela execute um script ou copie e cole código malicioso na linha de comando ou no Terminal. Isso instala malware capaz de capturar dados confidenciais do dispositivo comprometido e transforma o alvo na próxima vítima.
- Repetir o ciclo: com a vítima agora comprometida, o invasor assume o controle do dispositivo e das contas em redes sociais para propagar o ataque aos contatos dela.
Os ataques do BlueNoroff costumam mirar especificamente pessoas que trabalham nos setores de criptomoedas e Web3, além de profissionais envolvidos no desenvolvimento e na manutenção de software de código aberto.
O objetivo é acessar os dispositivos dos desenvolvedores e as contas que eles controlam em repositórios de software para viabilizar ataques à cadeia de suprimentos de software. No início deste ano, a operação FaceStealer foi usada contra o mantenedor do popular pacote Axios do npm, para distribuir uma versão trojanizada que instalava um trojan de acesso remoto (RAT) compatível com diferentes plataformas.
O FBI apreendeu mais de 900 gravações de webcam de vítimas usadas pelos agentes para se passar por elas em ataques posteriores. A agência afirmou estar "ciente de várias outras tentativas de hackers norte-coreanos de atacar desenvolvedores de software, mantenedores e bibliotecas de software com grande volume de downloads".
Em um relatório publicado em abril de 2026, a Arctic Wolf afirmou que a campanha de engenharia social havia atingido mais de 400 vítimas em mais de 20 países. A maioria estava nos Estados Unidos, em Singapura, no Reino Unido, em Hong Kong, na Coreia do Sul e nos Emirados Árabes Unidos.
"Exatamente 80% dos alvos identificados atuam diretamente no setor financeiro de criptomoedas e blockchain (54%) ou em áreas próximas de finanças e investimentos (26%)", observou a empresa de cibersegurança na ocasião. "Presidentes-executivos e fundadores representam, sozinhos, 45% do conjunto de alvos, quase a metade. Isso evidencia o foco operacional específico do BlueNoroff: pessoas com acesso a ativos de criptomoedas, infraestrutura de carteiras, plataformas de negociação ou poder de decisão sobre investimentos."
Desde então, a atividade se ampliou: foram identificados 677 alvos em 58 países. Mais de 80% são fundadores e executivos de alto escalão. Além de introduzir novas iscas, como uma falsa atualização do visualizador de PDF do Chrome, a campanha incorpora tecnologias de inteligência artificial generativa do ChatGPT, do Google, do Grok, da SpaceXAI, e do Wondershare AI Content Generator para fornecer aos invasores imagens, avatares e vídeos convincentes de participantes sintéticos.
"Na fase inicial, o reconhecimento dos alvos se ampliou e se tornou mais deliberado", acrescentou a empresa. "O material usado nas iscas foi coletado não apenas de fotos de perfil e de transmissões anteriores de webcam das vítimas, mas também de entrevistas no YouTube e de palestras em conferências, gravadas da tela pelos agentes. Isso permite capturar a aparência e a voz de uma pessoa específica, talvez um fundador ou um presidente-executivo, e criar vídeos falsos de reuniões sem precisar comprometer diretamente o alvo."
Cada nova vítima abre caminho para que o ataque avance. Esse ciclo continua no centro da operação de engenharia social.
"Combinada às novas capacidades de geração de mídia falsa, que permitem produzir iscas variadas e convincentes, essa estratégia representa uma escalada significativa nos esforços do BlueNoroff para comprometer pessoas de alto valor que controlam fundos, chaves de assinatura, informações confidenciais, canais de comunicação autenticados e relações profissionais de confiança", afirmou a Arctic Wolf.
Da FaceStealer à Contagious Interview
Vale destacar que a campanha FaceStealer é diferente da ClickFake Interview, uma variação da Contagious Interview que também emprega táticas no estilo ClickFix para executar malware em campanhas relacionadas a processos seletivos.
Assim como na FaceStealer, os invasores abordam possíveis alvos fingindo ser recrutadores em plataformas como o LinkedIn e compartilham uma "avaliação técnica" criada para executar malware. Em uma publicação no LinkedIn, Alina Krasavina, gerente de engenharia da Delivery Hero, contou que foi alvo de dois falsos recrutadores no mesmo dia, em outubro de 2026, com 13 minutos de diferença.
"O primeiro enviou uma 'avaliação técnica': um projeto Next.js com 113 arquivos. No fim do arquivo next.config.js, depois de 204 espaços, havia uma porta dos fundos", disse Krasavina. "O segundo não enviou nenhum arquivo ZIP. Em uma videochamada, um 'membro da equipe técnica' pediu que eu compartilhasse a tela inteira, baixasse um repositório e o executasse. Quando recusei, ele disse que isso era 'um requisito para continuar'. Depois da chamada, escrevi à recrutadora e pedi outro formato de entrevista. Cerca de um minuto depois, ela me bloqueou."
"Os dois ataques foram construídos de maneiras opostas. No primeiro, o esforço foi investido no código e quase nada na recrutadora. No segundo, foi investido nas pessoas, e eu nem sequer cheguei a ver o código."
Segundo um alerta conjunto de cibersegurança publicado no fim de setembro de 2026 por agências de cibersegurança e inteligência do Japão, dos Estados Unidos, da Austrália e da Alemanha, estima-se que a campanha, em atividade há muito tempo, tenha comprometido pelo menos 30 mil dispositivos em 100 países.
Os ataques testam diferentes métodos de distribuição para convencer as vítimas a executar código malicioso:
- Inserir malware em testes de programação, repositórios ou pacotes que as vítimas são orientadas a executar durante uma avaliação.
- Usar arquivos de configuração tasks.json do Microsoft Visual Studio Code (VS Code), editor de código, para executar automaticamente código malicioso quando o projeto é aberto no programa.
- Usar scripts .githooks/pre-commit e post-checkout para executar o código malicioso no primeiro envio de alterações ou na troca de branch.
- Usar instaladores trojanizados de aplicativos utilitários para macOS para distribuir o OtterCookie por meio de um programa de download escrito em shell script.
No mês passado, a Sophos informou que o computador corporativo de um funcionário, com macOS, foi comprometido em meados de setembro de 2026, depois que ele clonou um repositório público de código apresentado como parte de um teste de programação para uma vaga e o abriu como espaço de trabalho no VS Code.
"O repositório continha um arquivo de configurações de espaço de trabalho do VS Code preparado para o ataque, que substituía o perfil do terminal integrado do editor", afirmou a empresa de cibersegurança. "Quando um terminal era aberto no espaço de trabalho, o perfil modificado baixava e executava discretamente uma carga maliciosa em várias etapas."
A carga maliciosa em questão é o BeaverTail, um programa carregador escrito em JavaScript usado para instalar uma porta dos fundos em Python chamada InvisibleFerret. As duas famílias de malware são atribuídas à Contagious Interview.
A Sophos afirmou que o malware permaneceu ativo na memória do dispositivo por cerca de 26 horas, desde a execução, em 14 de setembro de 2026, até a reinicialização do computador no dia seguinte. O incidente não afetou nenhum de seus produtos ou serviços, nem dados de clientes ou sistemas deles, acrescentou a empresa.
Além disso, uma pesquisa recente da JFrog descobriu que os agentes ligados à campanha chegaram a criar uma empresa fictícia chamada AccuraSoftHire, com site de carreiras, depoimentos de clientes, página no LinkedIn, anúncios de emprego em plataformas conhecidas e recrutadores verificados. A estrutura busca transmitir credibilidade e, por fim, enganar candidatos para que executem malware por meio de um teste para fazer em casa adulterado e de uma etapa de verificação por vídeo.
"Nossa pesquisa mostra que essas iscas são construídas para passar pelas verificações em que as pessoas confiam: um site profissional, uma página no LinkedIn, anúncios de emprego em plataformas conhecidas e recrutadores com o selo de verificação do LinkedIn", afirmou Guy Korolevski, pesquisador sênior de segurança da JFrog Security Research, em um comunicado enviado ao The Hacker News.
"Não se pode esperar que desenvolvedores e outros funcionários com acesso aos sistemas percebam tudo isso sozinhos; por isso, as empresas precisam estabelecer regras. Testes de entrevista que exigem downloads devem ser executados somente em uma máquina virtual descartável, nunca em um computador de trabalho. As equipes de segurança também devem alertar os funcionários para que não baixem arquivos desconhecidos, mesmo quando acreditam que a fonte é confiável. Desenvolvedores também podem verificar quando o perfil do recrutador foi criado e se a localização da empresa é a mesma em todas as páginas."
