Operação conjunta mira criptomoedas e dados

Dois dos principais grupos hackers da Coreia do Norte, Kimsuky e Lazarus, estão colaborando em ataques coordenados que visam roubar informações sigilosas e criptomoedas globalmente.
Essa união representa uma evolução na atuação dos agentes patrocinados pelo Estado, que agora trocam ataques isolados por operações integradas.

Fases da operação

• Kimsuky inicia o ataque com campanhas de phishing, usando e-mails sofisticados que imitam convites acadêmicos e colaborações de pesquisa.
• Os anexos maliciosos nos formatos HWP ou MSC disparam o backdoor FPSpy ao serem abertos.
• O backdoor aciona o keylogger KLogEXE, capturando senhas, e-mails e informações do sistema para mapeamento da arquitetura da vítima.
• Após esta coleta, Lazarus assume a ofensiva usando explorações de vulnerabilidades zero-day.

Ataques técnicos e evasão

• Lazarus aproveitou o CVE-2024-38193, falha de escalonamento de privilégio no Windows, para implantar pacotes Node.js aparentemente legítimos.
• Após execução, é instalado o backdoor InvisibleFerret, que conta com o componente Fudmodule para derrotar sistemas de detecção de endpoint.
• O InvisibleFerret disfarça o tráfego de rede como HTTPS normal, dificultando a identificação por análise de tráfego.
• O malware vasculha a memória do sistema em busca de carteiras blockchain, chaves privadas e dados de transação em extensões de navegador ou apps desktop.

Com este método, foi documentado o roubo de US$ 32 milhões em criptomoedas em apenas 48 horas, sem detecção.

Comunicação e coordenação

O backdoor mantém canais criptografados com servidores C2, alternando domínios diariamente através de polling. Cada domínio C2 se passa por site legítimo, como portais de notícias ou e-commerce.
Ao final da operação, ambas as equipes trabalham juntas para esconder rastros, sobrescrevendo arquivos maliciosos com processos legítimos e apagando logs de ataque.

Setores sob maior risco

Defesa, finanças, energia e blockchain estão entre os setores mais visados pela campanha de Kimsuky e Lazarus, dado o alto valor dos ativos e o nível de integração das ameaças.