Hackers norte-coreanos roubaram US$ 400 milhões com chamadas falsas no Zoom

O rosto do outro lado da chamada de vídeo era de um amigo, colega de trabalho ou investidor que a vítima já conhecia. Mas era uma gravação. Segundo o FBI, hackers norte-coreanos têm atraído pessoas para reuniões falsas no Zoom e no Teams, exibindo imagens de webcam gravadas secretamente de vítimas anteriores e, em seguida, convencendo o novo alvo a instalar um malware disfarçado de solução técnica rápida.

O FBI chama o esquema de FaceStealer, que transforma um dos momentos mais corriqueiros do trabalho remoto no próprio ataque. O convite chega de uma conta verdadeira, pertencente a alguém de confiança; a reunião parece acontecer no aplicativo usado todos os dias; e a pessoa que aguarda o usuário parece ser exatamente quem ele esperava. Segundo o FBI, o golpe pode enganar até pessoas experientes e atentas à segurança.

A dimensão do esquema é grande. Em um alerta dirigido ao setor de criptomoedas e a responsáveis pela manutenção de softwares de código aberto, o FBI afirma que a operação roubou mais de US$ 400 milhões em criptomoedas nos últimos 18 meses. Os investigadores apreenderam a infraestrutura em nuvem usada pelos hackers, além de mais de 900 vídeos de webcam de vítimas que trabalhavam com criptoativos e Web3 em diferentes partes do mundo. Os criminosos guardavam esse material como um acervo para se passar por essas pessoas em ataques posteriores.

Cada ataque começa com alguém que já foi hackeado. Os criminosos invadem a conta dessa pessoa no Telegram ou em outro aplicativo de mensagens, leem o histórico das conversas e entram em contato com seus conhecidos com convites personalizados para colocar o papo em dia, discutir uma colaboração ou conversar sobre um investimento. Depois, enviam um convite pelo Calendly, muitas vezes sem link para a reunião. O link só chega pouco antes da chamada e leva a um endereço parecido com o verdadeiro, que abre uma cópia do Zoom ou do Teams controlada pelos hackers. Na reunião, a vítima vê o contato conhecido, muitas vezes acompanhado de vários outros participantes — todos em gravações.

É aí que entra o truque. Uma mensagem do contato falso diz que não está conseguindo ouvir a vítima e indica uma atualização, um script para executar ou uma linha de código para colar no terminal. A suposta solução instala um programa que rouba cookies do navegador, um keylogger, uma ferramenta para capturar a tela e uma porta dos fundos. Os hackers começam a gravar a webcam da vítima assim que ela clica no link. Com isso, a nova vítima se torna o rosto usado para atrair a próxima. “Se você não consegue imaginar uma situação em que poderia cair nesse golpe, não está pensando de forma suficientemente criativa”, disse Patrick Grandy, que comanda a unidade regional do FBI em Los Angeles.

O risco vai muito além das carteiras de criptomoedas. Segundo o FBI, a mesma técnica foi usada contra pessoas responsáveis pela manutenção de códigos abertos amplamente utilizados. Em um dos casos, o mantenedor de uma importante biblioteca JavaScript, baixada dezenas de milhões de vezes por semana, participou de uma falsa chamada no Teams com alguém que reconheceu, seguiu a solução sugerida e infectou o próprio computador. Em seguida, os hackers usaram o acesso dele para inserir dependências maliciosas nos downloads da biblioteca, antes que a invasão fosse descoberta. O FBI afirma que outras tentativas tiveram como alvo mantenedores no npm, o principal registro de pacotes JavaScript, e, mais recentemente, desenvolvedores de Rust. Basta enganar um único mantenedor para colocar malware diante de milhões de pessoas que nunca participaram de nenhuma chamada.

A inteligência artificial também tem um papel, embora menor do que as manchetes sobre deepfakes poderiam sugerir. Segundo o FBI, o grupo começou a produzir vídeos deepfake de figuras conhecidas do universo das criptomoedas, que só precisam parecer gravações granuladas de webcam. Ainda assim, o esquema continua dependendo, em grande medida, de vídeos reais roubados de vítimas reais. Isso significa que um detector de deepfakes não identificaria a maioria dessas chamadas.

A operação policial também deixa muitas questões sem resposta. Os servidores podem ser substituídos, e os responsáveis pelo esquema — atribuído pelo FBI ao grupo estatal norte-coreano de hackers conhecido como BlueNoroff, APT38 ou Sapphire Sleet — atuam na Coreia do Norte, longe do alcance dos tribunais dos Estados Unidos. O FBI não informou quantas das pessoas que aparecem nos 900 vídeos perderam dinheiro. Em vários casos, os hackers esperaram meses, às vezes mais de um ano, antes de esvaziar uma carteira, aguardando enquanto o saldo aumentava. Por isso, algumas vítimas talvez ainda não saibam que seus computadores foram comprometidos.

As recomendações do FBI são práticas. Entre nas reuniões pelo aplicativo oficial do Zoom ou do Teams, usando um código de convite em vez de um link da web, especialmente quando o contato for novo ou pouco frequente. Mantenha a câmera desligada até conseguir ver, ouvir e falar com a pessoa que fez o convite. Nunca execute um script nem cole códigos no terminal para consertar uma chamada. Desconfie quando um convite de calendário chega sem link para a reunião e o link aparece poucos minutos antes do início; confirme o encontro por outro canal. Ative a autenticação multifator, os alertas de login e as mensagens temporárias no Telegram, no WhatsApp e no Slack.

O FBI publicou o alerta sobre o FaceStealer em 12 de novembro, no mesmo dia em que o Departamento de Justiça anunciou a apreensão. O órgão também informou que recebeu autorização judicial para apreender ou bloquear mais de US$ 1,2 bilhão em criptomoedas roubadas por hackers norte-coreanos da corretora Binance no fim de outubro. Mais de US$ 2,7 bilhões já foram congelados até agora, e os esforços para recuperar o restante continuam. O FBI criou uma página dedicada ao FaceStealer, com orientações para quem acredita ter sido alvo do esquema.

Tags: cibersegurança, deepfakes, Coreia do Norte, FBI, Zoom, FaceStealer