📰 Informação fresquinha chegando para você!
Confira agora e compartilhe com seus amigos!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Descobriu-se que os agentes de ameaças norte-coreanos por trás das campanhas do estilo ClickFix que empregam domínios Zoom e Microsoft Teams com erros tipográficos operam um kit de phishing ativo para se passar por plataformas de videoconferência em campanhas de engenharia social projetadas para distribuir malware.
“A BlueNoroff operacionalizou o abuso de confiança combinando contatos comprometidos da indústria, engenharia social, reconhecimento de carteira e entrega de malware em um pipeline repetível de aquisição de vítimas”, disse JUMPSEC em um relatório detalhado compartilhado com The Hacker News. “A plataforma traça o perfil das carteiras de criptomoedas das vítimas antes da entrega do malware, permitindo o direcionamento seletivo de vítimas de alto valor.”
Descrevendo a campanha como uma plataforma de aquisição de vítimas conduzida por operadores, a empresa de segurança cibernética observou que a atividade envolve o uso de contatos confiáveis comprometidos como vetor de acesso inicial para criar uma cadeia de ataque autopropagada via Telegram.
Os detalhes da atividade foram documentados em detalhes desde o início de 2025, com Sekoia rastreando um segundo cluster de ameaças relacionado à Coreia do Norte sob o apelido ClickFake Interview devido ao uso de iscas do tipo ClickFix para enganar alvos desavisados para executar comandos maliciosos sob o pretexto de resolver problemas de câmera ou áudio.
De acordo com o JUMPSEC, os links de isca são distribuídos a partir de uma conta em que o alvo já confia e que encontrou na vida real, com os invasores sequestrando contas legítimas do Telegram de indivíduos no espaço das criptomoedas para enviar mensagens a funcionários de alto escalão de grandes empresas e compartilhar um link de reunião do Calendly.
“Cada vítima que executa a carga útil com o Telegram Web aberto ou o Telegram Desktop instalado é um candidato para que sua sessão do Telegram seja roubada e reutilizada em seus próprios contatos”, disse JUMPSEC, descrevendo a natureza autossustentável da campanha e como o comprometimento de uma conta alimenta a próxima.
O link do Calendly leva a vítima ao que parece ser uma URL de reunião do Zoom, mas, na realidade, é um domínio falso que se faz passar pelo serviço de videoconferência. Os usuários que acessam a página de phishing são solicitados a inserir seus nomes e conceder permissões para acessar a webcam. No entanto, uma vez fornecidas as permissões, o stream da webcam é enviado furtivamente para o painel dos operadores via mediasoup WebRTC.
O painel de operadores, com múltiplos recursos
Na fase final, após a vítima entrar na reunião, é-lhe mostrada outra página onde parece estar sozinha numa chamada Zoom, juntamente com a mensagem “aguardando outros participantes”. Isso prepara o terreno para a próxima fase do ataque.
“Depois que a vítima entrar, o operador pode continuar a usar seu painel para controlar a reunião, enviar mensagens falsas de ‘seu microfone não está funcionando’ e acionar a ‘atualização do Zoom SDK’, resultando na carga útil do ClickFix”, disse JUMPSEC.
Simultaneamente, o kit executa uma etapa de impressão digital no navegador da web para inventariar as carteiras de criptomoedas instaladas nele, após o que o “administrador” entra na reunião falsa. A diferença aqui é que o vídeo que a vítima vê não é uma transmissão ao vivo, mas sim um vídeo pré-editado que apresenta fotos na cabeça geradas por IA, criadas usando OpenAI ChatGPT e sobrepostas a movimentos corporais autênticos capturados durante reuniões anteriores.
“Portanto, cada ataque bem-sucedido alimenta materiais de origem nos compostos usados contra o próximo alvo”, explicou JUMPSEC. “Isso combinado com o método de controle de conta do Telegram significa que a reunião falsa mostra um rosto de aparência plausivelmente familiar, movendo-se com a linguagem corporal de alguém que foi realmente capturado pela câmera.”
A empresa de segurança cibernética disse que capturou duas variantes distintas de isca, cada uma para Zoom e Microsoft Teams. A variante Teams é avaliada como mais refinada do que a versão Zoom, suportando reação de emoji, bloqueio de dispositivos móveis/tablets e investigações avançadas de carteira antes da entrega de malware.
As cadeias de ataque ClickFix são compatíveis com Windows e macOS. Uma breve descrição de cada um deles é a seguinte -
Cadeia de eliminação do Windows:
O comando ClickFix executa um carregador do PowerShell que baixa e executa um VBScript, desativa o Microsoft Defender, adiciona a pasta "C:\Users" ao caminho de exclusão e reinicia o Defender à força para que as exclusões sejam aplicadas.
O implante VBScript verifica a presença de arquivos relacionados ao Telegram Web nos diretórios de perfil do Google Chrome, Microsoft Edge, Brave e Mozilla Firefox, provavelmente para determinar se a vítima tem uma conta ativa do Telegram e potencialmente sequestrar os cookies de sessão da conta para assumir o controle da conta e usá-la para atingir outros indivíduos de interesse.
O implante enumera extensões instaladas no Chrome, Chrome Beta, Chrome Dev, Chromium, Edge, Brave, Opera, Opera GX, Vivaldi e Firefox, relata suas extensões correspondentes.
“A BlueNoroff operacionalizou o abuso de confiança combinando contatos comprometidos da indústria, engenharia social, reconhecimento de carteira e entrega de malware em um pipeline repetível de aquisição de vítimas”, disse JUMPSEC em um relatório detalhado compartilhado com The Hacker News. “A plataforma traça o perfil das carteiras de criptomoedas das vítimas antes da entrega do malware, permitindo o direcionamento seletivo de vítimas de alto valor.”
Descrevendo a campanha como uma plataforma de aquisição de vítimas conduzida por operadores, a empresa de segurança cibernética observou que a atividade envolve o uso de contatos confiáveis comprometidos como vetor de acesso inicial para criar uma cadeia de ataque autopropagada via Telegram.
Os detalhes da atividade foram documentados em detalhes desde o início de 2025, com Sekoia rastreando um segundo cluster de ameaças relacionado à Coreia do Norte sob o apelido ClickFake Interview devido ao uso de iscas do tipo ClickFix para enganar alvos desavisados para executar comandos maliciosos sob o pretexto de resolver problemas de câmera ou áudio.
De acordo com o JUMPSEC, os links de isca são distribuídos a partir de uma conta em que o alvo já confia e que encontrou na vida real, com os invasores sequestrando contas legítimas do Telegram de indivíduos no espaço das criptomoedas para enviar mensagens a funcionários de alto escalão de grandes empresas e compartilhar um link de reunião do Calendly.
“Cada vítima que executa a carga útil com o Telegram Web aberto ou o Telegram Desktop instalado é um candidato para que sua sessão do Telegram seja roubada e reutilizada em seus próprios contatos”, disse JUMPSEC, descrevendo a natureza autossustentável da campanha e como o comprometimento de uma conta alimenta a próxima.
O link do Calendly leva a vítima ao que parece ser uma URL de reunião do Zoom, mas, na realidade, é um domínio falso que se faz passar pelo serviço de videoconferência. Os usuários que acessam a página de phishing são solicitados a inserir seus nomes e conceder permissões para acessar a webcam. No entanto, uma vez fornecidas as permissões, o stream da webcam é enviado furtivamente para o painel dos operadores via mediasoup WebRTC.
O painel de operadores, com múltiplos recursos
Na fase final, após a vítima entrar na reunião, é-lhe mostrada outra página onde parece estar sozinha numa chamada Zoom, juntamente com a mensagem “aguardando outros participantes”. Isso prepara o terreno para a próxima fase do ataque.
“Depois que a vítima entrar, o operador pode continuar a usar seu painel para controlar a reunião, enviar mensagens falsas de ‘seu microfone não está funcionando’ e acionar a ‘atualização do Zoom SDK’, resultando na carga útil do ClickFix”, disse JUMPSEC.
Simultaneamente, o kit executa uma etapa de impressão digital no navegador da web para inventariar as carteiras de criptomoedas instaladas nele, após o que o “administrador” entra na reunião falsa. A diferença aqui é que o vídeo que a vítima vê não é uma transmissão ao vivo, mas sim um vídeo pré-editado que apresenta fotos na cabeça geradas por IA, criadas usando OpenAI ChatGPT e sobrepostas a movimentos corporais autênticos capturados durante reuniões anteriores.
“Portanto, cada ataque bem-sucedido alimenta materiais de origem nos compostos usados contra o próximo alvo”, explicou JUMPSEC. “Isso combinado com o método de controle de conta do Telegram significa que a reunião falsa mostra um rosto de aparência plausivelmente familiar, movendo-se com a linguagem corporal de alguém que foi realmente capturado pela câmera.”
A empresa de segurança cibernética disse que capturou duas variantes distintas de isca, cada uma para Zoom e Microsoft Teams. A variante Teams é avaliada como mais refinada do que a versão Zoom, suportando reação de emoji, bloqueio de dispositivos móveis/tablets e investigações avançadas de carteira antes da entrega de malware.
As cadeias de ataque ClickFix são compatíveis com Windows e macOS. Uma breve descrição de cada um deles é a seguinte -
Cadeia de eliminação do Windows:
O comando ClickFix executa um carregador do PowerShell que baixa e executa um VBScript, desativa o Microsoft Defender, adiciona a pasta "C:\Users" ao caminho de exclusão e reinicia o Defender à força para que as exclusões sejam aplicadas.
O implante VBScript verifica a presença de arquivos relacionados ao Telegram Web nos diretórios de perfil do Google Chrome, Microsoft Edge, Brave e Mozilla Firefox, provavelmente para determinar se a vítima tem uma conta ativa do Telegram e potencialmente sequestrar os cookies de sessão da conta para assumir o controle da conta e usá-la para atingir outros indivíduos de interesse.
O implante enumera extensões instaladas no Chrome, Chrome Beta, Chrome Dev, Chromium, Edge, Brave, Opera, Opera GX, Vivaldi e Firefox, relata suas extensões correspondentes.
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #bluenoroff #zoom #phishing #kit #traça #perfis #de #carteiras #criptografadas #antes #da #entrega #do #malware
🚀 Mais conteúdos incríveis estão por vir, fique atento!
Postar um comentário