Alerta Crítico: BlueNoroff Ataca com Falsos Kits de Reunião para Roubar Criptomoedas e Desabilitar Defender

O grupo BlueNoroff, conhecido por suas operações de financiamento ligadas à Coreia do Norte, elevou o nível de sua engenharia social e exploração técnica. O novo "kit de reunião falso" não é um phishing comum. Ele se disfarça de convites para reuniões legítimas, usando contatos sequestrados no Telegram. O objetivo é capturar vítimas de alto valor, especialmente no mercado de criptomoedas.

Ao clicar no link, a vítima entra em uma página falsa de Zoom ou Teams. Ali, o kit ativa a webcam e coleta dados de carteiras de navegador via EIP-6963, além de enumerar carteiras Solana. O ataque em Windows usa um falso prompt de atualização de SDK que, via sequestro de área de transferência, executa um carregador PowerShell. Este instala o VBScript Trojan.NukeSped, que desabilita o Windows Defender e varre o sistema em busca de extensões de carteiras como MetaMask e sessões do Telegram. No macOS, droppers Mach-O com ofuscação LLVM exfiltram credenciais via CLI de segurança e bots do Telegram. A análise da JUMPSEC, possível graças a mapas de código-fonte expostos, revelou a sofisticação da operação.

Esta nova operação do BlueNoroff mostra uma clara evolução em suas táticas. Campanhas anteriores do grupo usavam páginas de phishing mais simples. Agora, ele utiliza uma plataforma estruturada de aquisição de vítimas, com captura de webcam e reconhecimento de carteiras logo no início. É um salto na sofisticação do ataque.

Mais importante, observamos a adoção de uma técnica já conhecida em outras campanhas. O ataque utiliza um "ClickFix-style clipboard hijacking", ou sequestro de área de transferência, para injetar o payload malicioso. Uma tática similar foi identificada em 16 de março de 2026 na Campanha Phexia, um ataque ao macOS. A técnica que era vista em ataques como o Phexia agora aparece adaptada em uma campanha do BlueNoroff. Isso indica um compartilhamento ou apropriação de métodos entre diferentes grupos de ameaça.

Para empresas e usuários de criptomoedas, essa campanha é um alerta crítico. O BlueNoroff não busca mais vítimas generalizadas. Ele faz reconhecimento para selecionar alvos de alto valor. A combinação de engenharia social avançada (contatos sequestrados, simulação de reunião) com exploração técnica (desabilitação do Defender, extração de credenciais e sessões de Telegram) torna a detecção muito difícil. A reabertura de contas comprometidas no Telegram para propagação da infecção cria um ciclo de ataque perigoso.

A técnica de sequestro de área de transferência é insidiosa, pois transforma uma ação inofensiva do usuário em vetor de infecção. A visibilidade obtida pela JUMPSEC no código-fonte é uma janela importante para entender a sofisticação desses grupos. Isso reforça a necessidade de defesas em várias camadas e de treinamento constante para identificar sinais de engenharia social, mesmo vindo de contatos aparentemente confiáveis.