Pesquisadores de segurança descobriram uma operação de cinco semanas na qual supostos trabalhadores de TI norte-coreanos foram recrutados para uma startup de criptomoedas completamente fictícia e monitorados sem saber enquanto trabalhavam. A operação, conhecida como Ballena Azul, proporcionou aos pesquisadores uma visão incomum de como agentes norte-coreanos usam identidades falsas, ferramentas de acesso remoto, infraestrutura de VPN e inteligência artificial enquanto buscam emprego legítimo no setor de criptomoedas.
Principais lições
Pesquisadores de segurança criaram uma startup DeFi falsa chamada Ballena Azul para investigar supostos trabalhadores de TI norte-coreanos.
Três suspeitos de serem agentes foram contratados e receberam máquinas virtuais controladas que registravam suas atividades.
Durante a operação, os trabalhadores utilizaram documentos de identificação dos EUA, software de acesso remoto, serviços de VPN e ferramentas de IA.
Pesquisadores identificaram infraestrutura previamente associada a malware ligado a campanhas norte-coreanas.
O caso demonstra como um emprego legítimo pode dar a suspeitos acesso autorizado aos sistemas da empresa sem a necessidade de um ataque cibernético inicial.
Os pesquisadores afirmaram que os trabalhadores suspeitos estavam associados à operação Famous Chollima, embora fontes governamentais não tivessem confirmado essa atribuição de forma independente até 11 de agosto.
Pesquisadores transformaram uma startup fictícia em um experimento controlado.
A operação foi conduzida pelos pesquisadores de cibersegurança Mauro Eldritch, da BCA LTD, e Heiner García, da NorthScan, com infraestrutura fornecida pela ANY.RUN. Em vez de esperar que supostos trabalhadores norte-coreanos contatassem uma empresa real, os pesquisadores criaram a Ballena Azul e anunciaram vagas para desenvolvedores. Um recrutador ligado à investigação forneceu três candidatos, que receberam tarefas de programação e acesso a ambientes virtuais de desktop controlados. Os pesquisadores puderam monitorar a atividade deles durante toda a operação.
O próprio processo de contratação revelou vários sinais de alerta. Um candidato alegou residir no Texas, mas apresentou uma carteira de habilitação da Califórnia e uma conta bancária em Nova York. Outro forneceu uma carteira de habilitação do Texas, um número de Seguro Social válido e uma conta bancária em Kansas City. Um terceiro apresentou uma carteira de habilitação de Nova York que, segundo relatos, pertencia a outra pessoa.
Os pesquisadores também encontraram evidências de que alguns documentos de identificação foram processados usando ferramentas de inteligência artificial. Uma imagem supostamente continha a marca d'água SynthID do Google, embora os pesquisadores não tenham estabelecido exatamente como a marca d'água foi detectada.
Os trabalhadores deixaram para trás informações valiosas.
Uma vez dentro da empresa falsa, os suspeitos se comportaram como desenvolvedores remotos legítimos, enquanto simultaneamente realizavam reconhecimento de seus ambientes de trabalho. Os três teriam executado comandos como dxdiag, systeminfo e wmic para coletar informações sobre suas máquinas. Eles também verificaram a localização aparente de suas conexões de internet. Um dos funcionários instalou o Chrome Remote Desktop e conectou uma conta pessoal do Google ao computador controlado. Isso potencialmente expôs o histórico de navegação, senhas salvas e extensões do navegador. O funcionário também acessou o GitHub a partir do mesmo ambiente.
Os pesquisadores identificaram ferramentas adicionais associadas à operação, incluindo serviços usados para retransmitir códigos de autenticação de dois fatores, software de acesso remoto e infraestrutura de VPN. Nós de saída do AstrillVPN foram observados repetidamente, um serviço que também tem sido associado à atividade de trabalhadores de TI norte-coreanos. Os navegadores continham diversas ferramentas de candidatura a emprego e entrevistas com inteligência artificial, incluindo AIApply, Final Round AI e Simplify Copilot.
A IA tornou-se uma ferramenta para os agentes suspeitos.
A investigação também revelou o uso extensivo de IA generativa. Segundo os pesquisadores, os funcionários usaram o ChatGPT para auxiliar em tarefas de programação, redação e outras atividades técnicas, incluindo tarefas com as quais eles pareciam ter dificuldades de realizar sozinhos. O Google Gemini teria sido usado para manipulação de imagens e alteração de documentos. Os pesquisadores afirmaram que os funcionários suspeitos não precisavam necessariamente implantar malware por conta própria para criar um risco de segurança.
Uma vez que um agente consegue um emprego, credenciais legítimas podem fornecer acesso ao código-fonte, sistemas internos, comunicações e outros recursos confidenciais da empresa. Isso faz com que o próprio processo de contratação represente uma potencial barreira de segurança.
García descreveu uma das descobertas mais surpreendentes da investigação:
“Sinceramente, a maior surpresa foi o quanto da peça foi improvisada.”
Os pesquisadores afirmaram que os trabalhadores suspeitos não pareciam seguir um processo corporativo rígido, dependendo, em vez disso, da improvisação e das ferramentas disponíveis.
A infraestrutura pode revelar mais do que os trabalhadores.
Uma das descobertas mais valiosas foi a infraestrutura externa utilizada antes que os trabalhadores se conectassem aos ambientes controlados da Ballena Azul.
Pesquisadores encontraram servidores associados a famílias de malware, incluindo InvisibleFerret e BeaverTail/OtterCookie, que já haviam sido relacionadas a campanhas que visavam credenciais, carteiras de criptomoedas e outras informações confidenciais. Alguns desses servidores já eram conhecidos pelos pesquisadores, enquanto outros pareciam ser infraestrutura não documentada anteriormente.
Essa distinção é importante porque a infraestrutura pode ser reutilizada em diversas operações. Identificar um servidor usado por um agente hoje pode, portanto, fornecer informações sobre outras campanhas ou atividades conectadas à mesma rede.
Trabalhadores de TI norte-coreanos continuam representando um risco para a indústria de criptomoedas.
A investigação da Ballena Azul surge em meio a alertas contínuos sobre trabalhadores de TI norte-coreanos que conseguem emprego remoto usando identidades falsas.
Em julho, a Consensys revelou que, sem saber, havia contratado um desenvolvedor ligado à Coreia do Norte por meio de um terceiro, antes de identificar a ameaça e encerrar o acesso. As autoridades americanas também processaram facilitadores acusados de ajudar trabalhadores norte-coreanos a obter empregos remotos usando identidades roubadas. O Departamento do Tesouro dos EUA estimou que os esquemas de trabalhadores de TI norte-coreanos geraram centenas de milhões de dólares para o regime, tornando a fraude de emprego parte de uma estratégia financeira mais ampla, e não apenas um problema de segurança cibernética.
Para as empresas de criptomoedas, o perigo é particularmente significativo porque os desenvolvedores podem ter acesso ao código-fonte, carteiras, infraestrutura e sistemas financeiros.
A empresa falsa acabou desaparecendo.
Após várias semanas, os pesquisadores encerraram a operação introduzindo outro executivo fictício da empresa, que confrontou os funcionários sobre inconsistências em suas identidades e documentação. O confronto fez com que os supostos agentes abandonassem os canais de comunicação. Os pesquisadores então simularam uma disputa interna e apresentaram a Ballena Azul como uma empresa em colapso devido a uma decisão de contratação equivocada.
Segundo os pesquisadores, pelo menos um dos suspeitos entrou em contato com García em particular para se desculpar e perguntar se ele estava bem. Os suspeitos, disseram eles, ainda não sabem que a Ballena Azul nunca foi uma startup de criptomoedas de verdade.
Conclusão
A operação Ballena Azul demonstra por que as campanhas de recrutamento de profissionais de TI norte-coreanos representam um tipo diferente de ameaça para empresas de criptomoedas. A invasão inicial pode não envolver malware ou uma senha roubada. Em vez disso, o invasor pode entrar por meio de um processo de contratação legítimo e obter acesso autorizado da própria empresa.
Para empresas de criptomoedas, uma verificação de identidade mais robusta, verificações repetidas após a contratação, análise minuciosa dos padrões de acesso remoto e monitoramento cuidadoso dos ambientes de desenvolvimento podem se tornar cada vez mais importantes, visto que essas operações se tornam mais difíceis de distinguir do trabalho remoto comum.
Aviso : Este artigo tem caráter meramente informativo e não deve ser considerado como aconselhamento de investimento ou negociação. Nada aqui contido deve ser interpretado como aconselhamento financeiro, jurídico ou tributário. Negociar ou investir em criptomoedas acarreta um risco considerável de perda financeira. Sempre realize uma pesquisa completa antes de tomar qualquer decisão de investimento ou negociação.
