O governo americano conseguiu desmantelar e frustrar uma sofisticada campanha de engenharia social liderada por um grupo de ameaça cibernética ligado à Coreia do Norte conhecido como 'FaceStealer', ao qual é atribuído o roubo de mais de 400 milhões de dólares em criptomoedas durante um período de 18 meses. Os ataques tiveram como alvo indivíduos que trabalham nos setores de moedas digitais e Web3, além de desenvolvedores de software de código aberto.
A campanha baseou-se em técnicas tecnológicas avançadas, incluindo deepfakes e o método 'ClickFix', no qual os invasores hackearam contas em várias plataformas de comunicação, como Telegram, LinkedIn, Slack e Discord, e as utilizaram para atrair vítimas para reuniões de vídeo sob diversos pretextos. Durante essas reuniões, os hackers exibiam vídeos gravados anteriormente de pessoas conhecidas da vítima que haviam caído em armadilhas anteriores para criar pressão psicológica, para depois exibirem mensagens de erro falsas que direcionavam a vítima a links para o download de atualizações ou ferramentas de correção maliciosas.
Roubo de dados e comprometimento de cadeias de suprimento de software
Investigações conduzidas por empresas de segurança como ArcticWolf e Huntress, além de alertas do Federal Bureau of Investigation (FBI), esclareceram que o software malicioso utilizado não se limitou a roubar credenciais de plataformas de reuniões e criptomoedas, mas também concedeu aos invasores acesso total a listas de contatos, redes sociais e arquivos de webcam. Em alguns casos, os invasores esperavam muitos meses antes de ativar o ataque para garantir o crescimento dos saldos de criptomoedas das vítimas.
A campanha também se concentrou em atingir as cadeias de suprimento de software de código aberto, com investigadores documentando tentativas de hackear desenvolvedores de bibliotecas de software populares em ambientes de desenvolvimento como npm e Rust, refletindo a gravidade dessas operações na infraestrutura de software global.
O que muda na prática?
No plano prático, esta intervenção governamental e o controle das autoridades americanas sobre a infraestrutura de nuvem do grupo representam um golpe duro nas operações de lavagem e roubo de fundos digitais, paralelamente a medidas de apreensão de ativos ligados a outros ataques, como o incidente da plataforma Binance. Por sua vez, recomenda-se que usuários e desenvolvedores tenham extremo cuidado, evitem executar scripts ou ferramentas de correção de origem desconhecida e se comprometam a participar de reuniões exclusivamente por meio de aplicativos oficiais com verificação independente dos convites.