Grupo de Ameaças Ligado à Coreia do Norte Identificado por Alvo em Criptomoedas e Fintech com Malware Avançado

A divisão Mandiant do Google Cloud identificou uma campanha cibernética intensificada originária da Coreia do Norte, direcionada estrategicamente a organizações de criptomoedas e fintechs. O ator de ameaça, designado como UNC1069, representa uma escalada significativa na atividade que vem sendo monitorada continuamente desde 2018, agora utilizando um arsenal de ferramentas maliciosas substancialmente ampliado.

Múltiplas Famílias de Malware Descobertas na Investigação da Mandiant

A última investigação da Mandiant revelou uma operação de intrusão altamente sofisticada, resultando na implantação de sete famílias distintas de malware, projetadas para coletar e exfiltrar dados sensíveis de organizações vítimas. Entre elas, duas novas cepas — CHROMEPUSH e DEEPBREATH — foram especificamente criadas para contornar proteções críticas do sistema operativo enquanto extraíam dados pessoais e organizacionais. Além disso, SILENCELIFT representa outro componente desta suíte ampliada de ferramentas. Esses desenvolvimentos destacam a sofisticação técnica e a intensidade de recursos das operações cibernéticas da Coreia do Norte contra os setores de fintech e criptomoedas.

Deepfakes Gerados por IA Utilizados em Ataques de Engenharia Social

Além do uso tradicional de malware, a campanha vinculada à Coreia do Norte incorporou táticas avançadas de engenharia social alimentadas por inteligência artificial. Os operativos do ator de ameaça comprometeram contas legítimas do Telegram e organizaram reuniões falsas no Zoom com vídeos deepfake gerados por IA para manipular os alvos. As vítimas foram enganadas a executar comandos ocultos através de ataques ClickFix — uma técnica que combina manipulação social com exploração técnica. Essa fusão de conteúdo gerado por IA com engenharia social representa um vetor de ameaça emergente que aumenta a dificuldade de detecção e conscientização das vítimas.

Evolução Persistente da Ameaça de 2018 até Hoje

O acompanhamento contínuo da Mandiant ao UNC1069 demonstra a persistência das operações cibernéticas da Coreia do Norte contra alvos de alto valor nos setores de criptomoedas e fintech. O que começou como uma atividade monitorada em 2018 evoluiu para uma campanha de ameaça mais capaz e diversificada, indicando investimento sustentado em capacidades cibernéticas voltadas a setores financeiramente relevantes. Organizações que atuam em criptomoedas e fintechs devem elevar sua postura de defesa contra esse adversário motivado geopoliticamente.