Grupo Lazarus intensifica ataques: Chamadas de vídeo com deepfakes de IA miram setor de cripto

O Grupo Lazarus, o coletivo de hackers patrocinado pelo estado mais notório da Coreia do Norte, cruzou um novo limiar no roubo financeiro assistido por cibermeios. Pesquisadores de segurança estão rastreando uma campanha sofisticada e contínua onde o subgrupo BlueNoroff está aproveitando a inteligência artificial para criar chamadas de vídeo convincentes com deepfakes, direcionadas a indivíduos da indústria de criptomoedas em plataformas como o Zoom. Isso representa uma mudança de paradigma na engenharia social, passando do texto enganoso e das imagens estáticas para a impersonificação dinâmica em tempo real, aumentando drasticamente a taxa de sucesso de seus ataques.

A cadeia de ataque é meticulosamente planejada. Operadores, com base presumida na Coreia do Norte, realizam um reconhecimento extensivo no LinkedIn e outras redes profissionais para identificar pessoal-chave em exchanges de criptomoedas, startups de blockchain e fundos de investimento. Eles criam perfis falsos se passando por recrutadores ou executivos de empresas legítimas. Após estabelecer um contato inicial por meio de mensagens de texto, propõem mover a conversa para uma chamada de vídeo para 'discutir uma oportunidade de alto valor' ou 'finalizar um contrato'.

É durante essa chamada de vídeo que a tecnologia de deepfake é implantada. Usando vídeo e áudio pré-gravados ou possivelmente gerados por IA em tempo real, o atacante se passa por uma pessoa real—frequentemente alguém que o alvo reconheceria de eventos do setor ou conexões mútuas. O deepfake tem qualidade suficiente para passar por uma inspeção visual casual, especialmente quando combinado com a pressão inerente e a empolgação de um potencial negócio. O objetivo central da chamada é a validação social: construir confiança suficiente para convencer o alvo a realizar uma única ação crítica.

Essa ação normalmente envolve abrir um arquivo ou executar um comando. O atacante, durante a chamada, pode compartilhar sua tela para exibir um contrato ou documento técnico de aparência legítima. Em seguida, envia o arquivo diretamente pela função de chat da ferramenta de videoconferência ou faz um acompanhamento com um e-mail que parece vir da empresa impersonificada. O arquivo costuma ser um executivo malicioso disfarçado de PDF ou um documento que explora uma vulnerabilidade conhecida para entregar uma carga maliciosa (payload). Em alguns casos observados, o malware é uma nova variante de um cavalo de troia de acesso remoto (RAT) ou um ladrão de informações projetado para drenar carteiras de criptomoedas, comprometer chaves privadas ou obter acesso persistente a ambientes de desenvolvimento corporativos.

As implicações técnicas para a cibersegurança são profundas. Gateways de segurança de e-mail tradicionais e treinamentos anti-phishing focados em escrutinar endereços de remetente e texto flutuante de links são ineficazes contra esse vetor. O ataque explora a confiança programada no cérebro humano na interação face a face. Além disso, o uso de plataformas de comunicação legítimas como o Zoom fornece uma camada adicional de legitimidade, pois os alvos desconfiam menos de arquivos compartilhados dentro do que percebem como uma conversa direta e segura.

A defesa contra essa ameaça requer uma abordagem multicamada baseada em princípios de confiança zero:

1. Protocolos de verificação aprimorados: Implementar verificação obrigatória fora da banda para qualquer transação financeira, ação sensível ou execução de software solicitada durante uma reunião virtual. Uma confirmação rápida por meio de um número de telefone conhecido anteriormente ou um canal de comunicação separado e estabelecido pode quebrar a cadeia de ataque.
2. Evolução da conscientização em segurança: O treinamento deve ir além do 'phishing básico' para incluir 'conscientização sobre vishing (phishing de voz) e deepfakes'. Os funcionários, especialmente em funções de alto risco, devem ser treinados para reconhecer táticas de pressão de engenharia social e contestar solicitações incomuns, mesmo de alguém que 'veem' na tela.
3. Controles técnicos: A listagem de permissões de aplicativos pode impedir a execução de binários não autorizados. Soluções robustas de detecção e resposta em endpoints (EDR) são cruciais para identificar comportamentos maliciosos pós-execução. A segmentação de rede pode limitar o movimento lateral se ocorrer um comprometimento inicial.
4. Fortalecimento de processos: Estabelecer políticas claras na empresa que proíbam a execução de software não solicitado ou o compartilhamento de credenciais com base apenas em uma solicitação de chamada de vídeo, independentemente da hierarquia aparente do solicitante.

A adoção de deepfakes impulsionados por IA pelo Grupo Lazarus não é um experimento isolado, mas um sinal do futuro da engenharia social avançada. À medida que a tecnologia se torna mais acessível, outros grupos APT e criminosos com motivação financeira certamente seguirão o exemplo. Para a comunidade de cibersegurança e a indústria de criptomoedas—já um alvo principal das operações de geração de receita da Coreia do Norte—esta campanha serve como um alerta severo. A camada humana tornou-se a superfície de ataque primária, e defendê-la requer uma fusão de controles tecnológicos, educação contínua e mudanças culturais em direção a uma confiança verificada.