Os atores de ameaça norte-coreanos por trás das campanhas do tipo ClickFix — que utilizam domínios com erros de digitação (typosquatting) do Zoom e do Microsoft Teams — foram identificados operando um kit de phishing ativo para se passar pelas plataformas de videoconferência em campanhas de engenharia social projetadas para distribuir malware.
"O BlueNoroff transformou o abuso de confiança em uma operação rotineira, combinando contatos comprometidos do setor, engenharia social, reconhecimento de carteiras digitais e distribuição de malware em um fluxo repetível de captação de vítimas", afirmou a JUMPSEC em um relatório detalhado compartilhado com o The Hacker News. "A plataforma faz o perfil das carteiras de criptomoedas das vítimas antes da entrega do malware, permitindo o direcionamento seletivo de alvos de alto valor."
Ao descrever a campanha como uma plataforma de captação de vítimas conduzida por operadores, a empresa de cibersegurança observou que a atividade envolve o uso de contatos confiáveis comprometidos como vetor de acesso inicial para criar uma cadeia de ataque autopropagável via Telegram.
Os detalhes da atividade vêm sendo documentados desde o início de 2025, com a Sekoia rastreando um segundo agrupamento de ameaça alinhado à Coreia do Norte sob o nome de ClickFake Interview, devido ao uso de iscas semelhantes às do ClickFix para enganar alvos desavisados e fazê-los executar comandos maliciosos sob o pretexto de resolver problemas de câmera ou áudio.
Segundo a JUMPSEC, os links de isca são distribuídos a partir de uma conta que o alvo já confia e com a qual já se encontrou pessoalmente. Os invasores sequestram contas legítimas no Telegram de pessoas do universo de criptomoedas para enviar mensagens a executivos de grandes empresas e compartilhar um link de agendamento de reunião do Calendly.
"Toda vítima que executa o payload com o Telegram Web aberto ou o Telegram Desktop instalado é uma candidata a ter sua sessão no Telegram roubada e reutilizada contra seus próprios contatos", afirmou a JUMPSEC, descrevendo a natureza autossustentável da campanha e como o comprometimento de uma conta alimenta o próximo.
O link do Calendly leva a vítima ao que parece ser um endereço de reunião do Zoom, mas, na verdade, é um domínio falso que imita o serviço de videoconferência. Os usuários que acessam a página de phishing são solicitados a inserir seu nome e conceder permissões de acesso à webcam. No entanto, uma vez concedidas as permissões, o fluxo de vídeo da webcam é enviado discretamente ao painel dos operadores por meio da tecnologia mediasoup (protocolo de comunicação em tempo real pela web).
Na etapa final, depois que a vítima entra na reunião, é mostrada a ela outra página em que parece estar em uma chamada do Zoom sozinha, acompanhada da mensagem "aguardando outros participantes". Isso prepara o terreno para a próxima fase do ataque.
"Depois que a vítima entra, o operador pode continuar usando o painel para controlar a reunião, enviar mensagens falsas do tipo 'seu microfone não está funcionando' e disparar a 'Atualização do SDK (Kit de Desenvolvimento de Software) do Zoom', resultando, por fim, no payload do ClickFix", explicou a JUMPSEC.
Simultaneamente, o kit executa uma etapa de fingerprinting (coleta de impressões digitais) no navegador para catalogar as carteiras de criptomoedas instaladas. Em seguida, o "administrador" entra na reunião falsa. O detalhe é que o vídeo que a vítima vê não é uma transmissão ao vivo, mas sim um vídeo pré-editado que apresenta imagens geradas por inteligência artificial (IA) criadas com o ChatGPT da OpenAI e sobrepostas a movimentos corporais reais capturados em reuniões anteriores.
"Assim, cada ataque bem-sucedido fornece material de origem para as composições usadas contra o próximo alvo", explicou a JUMPSEC. "Isso, somado ao método de tomada de contas do Telegram, faz com que a reunião falsa mostre um rosto plausivelmente familiar, movendo-se com a linguagem corporal de alguém que de fato foi capturado pela câmera."
A empresa de cibersegurança afirmou ter capturado duas variantes distintas de iscas, uma para o Zoom e outra para o Microsoft Teams. A variante do Teams é considerada mais refinada que a do Zoom, com suporte a reações com emojis, bloqueio em dispositivos móveis e tablets e sondagens avançadas de carteiras antes da entrega do malware.
As cadeias de ataque do ClickFix são compatíveis tanto com Windows quanto com macOS. Uma breve descrição de cada uma delas é a seguinte:
-
Cadeia de ataque no Windows:
- O comando do ClickFix executa um loader em PowerShell que baixa e executa um VBScript (Visual Basic Script), desativa o Microsoft Defender, adiciona a pasta "C:\Users" à lista de exclusão e força a reinicialização do Defender para que as exclusões sejam aplicadas.
- O implante em VBScript verifica a presença de arquivos relacionados ao Telegram Web nos diretórios de perfil do Google Chrome, Microsoft Edge, Brave e Mozilla Firefox, provavelmente para determinar se a vítima possui uma conta ativa no Telegram e, potencialmente, sequestrar os cookies de sessão da conta para assumir o controle dela e usá-la para atingir outras pessoas de interesse.
- O implante enumera as extensões instaladas em Chrome, Chrome Beta, Chrome Dev, Chromium, Edge, Brave, Opera, Opera GX, Vivaldi e Firefox, reporta os respectivos IDs das extensões e os compara com extensões de carteiras conhecidas, como a MetaMask, para identificar alvos de alto valor.
- O implante também suporta a entrega de payloads (cargas maliciosas) de estágios seguintes, embora a natureza exata deles permaneça desconhecida.
-
Cadeia de ataque no macOS:
- O comando do ClickFix executa um shell script, que então baixa um instalador falso do Teams (ou do Zoom).
- O instalador executa o payload principal do tipo stealer (ladrão de dados) para extrair e exfiltrar informações sensíveis — incluindo metadados do sistema e chaves mestras do Google Chrome armazenadas no iCloud Keychain — para o atacante por meio de um canal do Telegram chamado "Aurora", além de implantar payloads adicionais.
Análises adicionais determinaram que a função de exfiltração via Telegram codifica de forma fixa (hard-code) o token do bot e o ID do chat dentro do binário do stealer. A consulta à API (Interface de Programação de Aplicações) do Telegram para o token do bot associou-o a um operador que se identifica como "John" (@alchemy_john_mac). Recentemente, em maio de 2026, o indivíduo foi observado perguntando a administradores do grupo de criptomoedas MAIV sobre contratos de vesting (liberação programada de tokens) e retiradas de fundos.
Além disso, o exame da infraestrutura do agente de ameaça levou à descoberta de cinco versões distintas do kit de phishing entre 31 de maio e 14 de julho de 2026, indicando desenvolvimento ativo e ajustes finos em andamento.
Um aspecto notável da campanha é seu foco específico em iscas relacionadas ao Zoom e ao Teams, em vez de, por exemplo, o Google Meet. Sean Moran, chefe de pesquisa de ameaças e capacitação da JUMPSEC, disse ao The Hacker News que existem três possíveis motivos para esse comportamento: o pretexto do ClickFix, o encaixe com a aplicação-alvo e a superfície de typosquatting — conforme detalhado a seguir.
"O gancho inteiro é o 'SDK do Zoom/Teams está desatualizado' — isso só funciona em plataformas cujas vítimas acreditem ter um cliente de desktop relativamente pesado (como Teams e Zoom têm). Mas o Google Meet não tem um aplicativo de desktop e funciona principalmente pelo navegador, então não faz muito sentido nesse contexto."
"Zoom e Teams são o padrão para muita gente do mundo das criptomoedas, capital de risco e fundadores no setor financeiro — enquanto o Google Meet parece mais uma plataforma para chamadas de atendimento ao cliente do que para 'reuniões com investidores ou parceiros'."
"O esquema de domínios inteiro, do tipo 'us.zoom.06webin.us' e similares, facilita muito a queda no golpe, porque são muito parecidos com links reais do Zoom, com todos os subdomínios. Já o 'meet.google.com' é mais difícil de aplicar typosquatting ou falsificação."
Moran também destacou que, embora o kit de phishing atualmente envie apenas páginas de isca do Zoom e do Teams, existe um equivalente para o Google Meet como um stub (código não implementado) no código-fonte. Isso, acrescentou, provavelmente é uma escolha deliberada considerando os fatores mencionados acima e o fato de que a configuração atual está funcionando ativamente.
"As implicações vão além desta campanha específica. À medida que a Web3 e os ativos digitais continuam a amadurecer, os agentes de ameaça reconhecem cada vez mais que comprometer os indivíduos que controlam o acesso pode ser tão valioso quanto atacar a própria infraestrutura", concluiu a JUMPSEC.
"O refinamento contínuo do BlueNoroff mostra que as organizações precisam tratar identidade, relacionamentos e canais de comunicação como partes críticas da sua postura de segurança."
