Malware Relay: Aplicativo falso de reunião de IA rouba carteiras de criptomoedas de candidatos a empregos Web3
2026/07/30 12:05:00
Entrevistas de emprego falsas com IA visam profissionais de Web3 com malware para roubar criptomoedas
Pesquisadores de segurança da SlowMist identificaram uma campanha sofisticada de roubo de informações que visa profissionais do Web3 por meio de processos de recrutamento falsos. Os atacantes se passam por recrutadores, agendam entrevistas e direcionam os candidatos para um site em relay.lc que promove uma plataforma de reuniões baseada em IA chamada Relay. A plataforma afirma possuir recursos como transcrição em tempo real, notas colaborativas, resumos gerados por IA e clientes para desktop no Windows e macOS.
Após os candidatos baixarem e executarem os instaladores, o software implanta malware projetado para extrair credenciais de navegador, dados de carteiras de criptomoedas de dezenas de extensões, conteúdo do Keychain do macOS, sessões do Telegram e informações do sistema. A campanha foi detectada pela MistEye após relatos da comunidade e submetida a uma análise estática detalhada dos instaladores. Essa operação demonstra como os atacantes combinam engenharia social com truques técnicos específicos da plataforma para contornar avisos de segurança padrão e coletar dados criptográficos de alto valor de candidatos a empregos que acreditam estar participando de um passo rotineiro de contratação.
Contato de recrutador falso prepara o cenário para infecção
Os atacantes começam entrando em contato com profissionais Web3 por meio de redes profissionais ou plataformas de mensagens, oferecendo entrevistas para cargos que parecem legítimos. As comunicações mencionam nomes de empresas plausíveis e descrições de vagas adaptadas a desenvolvedores de blockchain, pesquisadores de segurança ou especialistas em ecossistema. Após uma troca inicial, o recrutador orienta o candidato a acessar relay.lc para a próxima etapa do processo, apresentando o site como uma ferramenta necessária para a entrevista por vídeo. O site exibe linguagem de marketing refinada descrevendo o Relay como uma plataforma avançada de colaboração baseada em IA, com links para download para os principais sistemas operacionais de desktop. Essa abordagem explora a expectativa de que contratações remotas frequentemente envolvem software especializado para reuniões, reduzindo a probabilidade de os candidatos analisarem o domínio ou o instalador.
Relatos da comunidade sobre comportamento suspeito levaram o MistEye a classificar o site como de alto risco e iniciar uma revisão técnica completa dos arquivos distribuídos. A ausência de qualquer funcionalidade de reunião genuína dentro dos pacotes confirma que toda a apresentação serve apenas como veículo de entrega para a carga subsequente. Os pesquisadores enfatizam que a engenharia social tem sucesso precisamente porque o pedido para instalar software parece comum no contexto de uma entrevista técnica remota. As vítimas que prosseguem, portanto, concedem ao malware um ponto inicial de acesso sob a suposição de que estão simplesmente se preparando para uma conversa com um possível empregador.
O design do site Relay imita ferramentas de colaboração legítimas
As páginas públicas do relay.lc replicam cuidadosamente o estilo visual e textual de aplicativos de produtividade estabelecidos. As descrições destacam transcrição em tempo real, anotações compartilhadas, geração automática de tarefas e clientes de desktop integrados, criando a impressão de um serviço moderno de reuniões aprimorado por IA. Botões de download para Windows e macOS aparecem de forma proeminente, reforçando a ideia de que a instalação é um pré-requisito padrão para participação. Nenhum sinal óbvio de alerta, como gramática ruim ou marca incompleta, aparece nas páginas superficiais, o que ajuda o site a passar em inspeções casuais. No entanto, uma vez que os arquivos são obtidos, a análise revela que nenhum dos instaladores contém um aplicativo de reunião funcional.
O pacote para Windows é um executável autoextrutível NSIS construído sobre o framework Electron que simplesmente exibe uma interface de progresso, enquanto a imagem de disco do macOS oculta seu executável em um diretório que o Finder oculta por padrão. A análise estática do código não revela recursos de colaboração legítimos, apenas rotinas para coleta de dados e transmissão em rede. Essa discrepância entre a apresentação de marketing e o conteúdo real do binário é central para a eficácia da campanha. Candidatos a empregos que já investiram tempo no processo de recrutamento são mais propensos a concluir os passos de instalação sem verificação mais aprofundada. O design, portanto, aproveita tanto a legitimidade visual quanto o comprometimento psicológico para aumentar a taxa de infecção entre profissionais-alvo.
Caminho de instalação do macOS remove proteções de quarentena
No macOS, a imagem de disco baixada contém um pequeno script shell rotulado como Installer.file, um atalho para o Terminal e um diretório oculto chamado .back, que contém o executável real de 5,2 MB. Os usuários são instruídos a abrir o Terminal, arrastar o script para a janela e pressionar Enter. O script copia o binário oculto para um local temporário, remove seus atributos estendidos com o comando xattr, concede permissões de execução e o inicia silenciosamente em segundo plano usando nohup. A remoção do atributo de quarentena desativa o aviso padrão do macOS que normalmente aparece quando um usuário abre pela primeira vez um arquivo baixado da internet. Nenhuma vulnerabilidade do sistema é necessária; o próprio usuário executa os comandos que neutralizam a proteção.
Após ser executado, a carga útil exibe um diálogo AppleScript estilizado como um “Erro de Aplicativo” que afirma problemas de compatibilidade com a versão atual do macOS e solicita a senha do sistema. A senha inserida é capturada e associada a uma cópia do banco de dados do Keychain de login para transmissão posterior. Como o Keychain de login geralmente é desbloqueado pela mesma senha, a combinação fornece efetivamente tanto os dados criptografados quanto os meios para descriptografá-los. Rotinas adicionais de coleta visam armazenamentos de navegadores, extensões de carteira, arquivos de sessão do Telegram e conteúdo do Apple Notes que podem conter frases ou chaves de recuperação. O processo é projetado para concluir sua exfiltração em uma única execução, em vez de estabelecer persistência de longo prazo após reinicializações.
O caminho do Windows depende de progresso simulado e privilégios elevados
O instalador do Windows apresenta uma barra de progresso com a marca “Atualizando” que avança conforme um temporizador randomizado, e não com base em qualquer atividade real de download ou verificação. Mensagens de status, como “Carregando componentes principais” e “Verificando arquivos locais”, alternam mecanicamente enquanto a barra avança em direção a 80 por cento. Quando esse limiar é atingido, o código emite um comando PowerShell que solicita privilégios de administrador e inicia um binário não assinado de 116 MB chamado updater.exe. O processo elevado primeiro tenta estabelecer persistência copiando-se para um local oculto sob o diretório AppData do usuário e criando entradas na chave Run do Registro, na chave RunOnce e na pasta Inicialização, todas rotuladas para parecerem componentes do Windows Update.
Após garantir a persistência, o malware varre os processos em execução do Chrome e do Brave em busca de parâmetros associados a extensões de carteira desbloqueadas e prepara os valores extraídos para transmissão juntamente com um identificador da máquina. A mesma carga útil contém módulos para coletar credenciais do navegador, cookies, dados do Telegram e informações do sistema. Como a interface de progresso nunca reflete atividade genuína, o usuário não tem nenhuma indicação visual de que a instalação se desviou de uma atualização de software normal. A combinação da pressão social proveniente da entrevista em andamento e da aparência familiar de uma tela de atualização incentiva a conclusão do prompt de elevação. Uma vez concedidos os direitos de administrador, o malware ganha a capacidade de persistir entre reinicializações e de acessar a memória de processos protegidos.
Extensão de carteira com foco em principais clientes de criptomoedas
O malware incorpora uma tabela de mapeamento extensa de identificadores de extensões de navegador, referenciada centenas de vezes no código. A lista inclui 286 IDs distintos correspondentes a carteiras de criptomoedas populares, como MetaMask, Phantom e Trust Wallet, além de gerenciadores de senhas, incluindo 1Password, LastPass, Proton Pass e Dashlane. Em ambos os sistemas operacionais, a lógica de coleta extrai senhas salvas, cookies, tokens de sessão e dados de preenchimento automático do Chrome, Brave, Edge e Arc. Para extensões específicas de carteira, o código procura estados desbloqueados ou materiais de recuperação armazenados que possam ser usados para esvaziar fundos. No Windows, a varredura de memória do processo foca em instâncias do Chrome e Brave que podem conter sessões de carteira ativas.
A amplitude do alvo significa que uma única infecção bem-sucedida pode comprometer múltiplas carteiras e armazenamentos de credenciais simultaneamente. Profissionais que mantêm carteiras baseadas em navegador por conveniência ou que armazenam notas relacionadas em aplicativos do sistema enfrentam exposição aumentada. O design prioriza a coleta rápida e abrangente em vez de roubo seletivo, maximizando o valor de cada máquina comprometida. As equipes de segurança observam que a inclusão de extensões de gerenciadores de senhas amplia o potencial de dano além dos criptoativos puros para tomadas de conta mais amplas.
Roubo de chaveiro e sessão do Telegram amplificam os danos
Além dos dados do navegador, a variante macOS lê especificamente o banco de dados do Keychain de login e o combina com a senha obtida por meio do diálogo falso. A transmissão bem-sucedida de ambos os itens permite a descriptografia remota das credenciais armazenadas. Os arquivos de sessão do Telegram Desktop localizados no diretório tdata também são alvejados; a posse desses arquivos pode permitir a restauração de uma sessão ativa em um dispositivo controlado pelo atacante. O conteúdo do Apple Notes é coletado percorrendo contas e pastas e salvando os corpos das notas como arquivos HTML, criando risco se os usuários tiverem registrado frases semente ou chaves API lá.
Identificadores do sistema, como UUID de hardware, endereço IP e país, são coletados para identificar a máquina da vítima. No Windows, os mecanismos de persistência garantem que as rotinas de coleta possam continuar após o encerramento da janela inicial de entrevista. A combinação de credenciais, sessões e dados de notas cria múltiplos caminhos para comprometimentos adicionais, incluindo a imitação da vítima em chats profissionais ou ataques secundários contra contatos. Pesquisadores destacam que a abordagem multivetorial é típica de info-stealers modernos otimizados para alvos Web3 de alto valor.
A ausência de persistência de longo prazo no macOS limita alguns riscos
A análise estática da amostra do macOS não encontrou evidências de LaunchAgents, LaunchDaemons ou outros mecanismos que sobrevivam à reinicialização. O lançamento via nohup permite que o processo continue após o fechamento do Terminal, mas uma reinicialização do sistema o encerra. Essa escolha de design sugere que os operadores priorizam a exfiltração rápida de dados durante a janela da entrevista ao vivo em vez de uma presença prolongada. Em contraste, a versão do Windows investe esforço em três métodos distintos de persistência. A diferença pode refletir restrições específicas da plataforma ou um trade-off calculado entre sigilo e confiabilidade.
Para vítimas que reiniciam imediatamente após notar anomalias, a infecção no macOS pode ser limitada aos dados coletados na primeira sessão. No entanto, a coleta inicial de informações do Keychain, navegador e Telegram ainda pode causar perdas irreversíveis se as carteiras forem esvaziadas antes da remediação. A ausência de persistência não reduz a ameaça imediata aos fundos mantidos em carteiras quentes ou extensões de navegador. Os operadores parecem aceitar a janela operacional mais curta em troca de uma carga útil mais simples e menos detectável em sistemas Apple.
Relatórios da comunidade acionaram a investigação do MistEye
MistEye, a plataforma de inteligência de ameaças Web3 da SlowMist, recebeu notificações da comunidade sobre software de entrevista suspeito antes do início da análise completa. O sistema sinalizou relay.lc como de alto risco, levando a equipe de segurança a adquirir e fazer engenharia reversa dos dois instaladores sem executá-los nem entrar em contato com a infraestrutura remota. A revisão no nível de origem dos scripts, da interface Electron e dos binários incorporados confirmou a ausência de funcionalidade legítima de reunião e a presença de rotinas extensivas de coleta.
O relatório técnico resultante detalha estruturas de arquivo exatas, strings decodificadas, texto de diálogo e caminhos de persistência, fornecendo aos defensores indicadores concretos. A publicação dos resultados em 29 de julho de 2026 permitiu a disseminação rápida por meio de canais de segurança. O episódio ilustra o valor do relato da comunidade combinado com monitoramento especializado focado em ameaças Web3. A detecção precoce limitou a janela durante a qual a campanha pôde operar sem desafios. O monitoramento contínuo continua para domínios relacionados ou cargas úteis variantes que possam aparecer sob nova identidade.
Padrão mais amplo de campanhas de roubo de criptomoedas baseadas em entrevistas
Campanhas que exploram o processo de busca de emprego têm aparecido repetidamente no setor Web3, frequentemente usando aplicativos falsos de agendamento de reuniões ou ferramentas de assinatura de documentos para entregar stealers de informações. Variantes anteriores utilizavam nomes como Meeten, GrassCall ou marcas genéricas de conferência e dependiam de premissas semelhantes de engenharia social. A operação Relay aperfeiçoa a abordagem incorporando branding com tema de IA e teatralidade de instalação específica da plataforma. O foco constante em carteiras de navegador e dados de sessão reflete a alta concentração de ativos líquidos entre profissionais que mantêm ambientes de desenvolvimento ou negociação ativos.
Pesquisadores de segurança observam que o incentivo econômico permanece forte, pois um único sucesso na extração pode gerar retornos substanciais em relação ao custo de criar a isca. A consciência defensiva melhorou, mas a introdução contínua de novos domínios e interfaces aprimoradas mantém a técnica viável. Organizações que contratam remotamente são aconselhadas a padronizar plataformas de reunião verificadas e proibir a instalação de software fornecido pelos candidatos. Candidatos individuais se beneficiam ao tratar qualquer solicitação para baixar ferramentas de entrevista como um sinal de alto risco que exige verificação independente.
Defesas práticas contra iscas de instalação de software
Os candidatos podem reduzir a exposição confirmando a identidade dos recrutadores por meio de canais oficiais da empresa, em vez de confiar em mensagens não solicitadas. Links de reuniões devem originar-se apenas de domínios reconhecidos associados ao empregador suposto. Qualquer solicitação para instalar software de desktop antes de uma entrevista merece imediata desconfiança e pesquisa independente sobre o aplicativo e seu publicador. Senhas do sistema nunca devem ser inseridas em diálogos que aparecem durante um processo de instalação. Carteiras hardware e práticas de armazenamento a frio limitam o impacto de roubos baseados em navegador.
Revisões regulares de extensões de navegador e a remoção de clientes de carteira não utilizados reduzem ainda mais a superfície de ataque. Quando uma entrevista precisar prosseguir, os candidatos podem propor plataformas alternativas verificadas e recusar qualquer instalador que não possa ser validado. Essas etapas não eliminam todos os riscos, mas aumentam o custo operacional para atacantes que dependem de conformidade rápida e não examinada. As equipes de segurança dentro das empresas Web3 podem incorporar orientações semelhantes aos modelos de comunicação com candidatos. A educação contínua permanece essencial, pois o componente de engenharia social evolui junto com as cargas técnicas.
Contexto do Mercado para Atividade Aumentada de Recrutamento
A demand por talentos especializados em blockchain continua a sustentar contratações remotas ativas em funções de desenvolvimento, segurança e ecossistema. A presença de posições genuínas bem remuneradas cria um ambiente fértil para imitações. Atacantes exploram o volume de abordagens gerado por recrutadores legítimos, misturando-se ao ruído de fundo das redes profissionais. Faixas salariais e estruturas remotas em primeira posição, que caracterizam muitas vagas de Web3, further normalizam o uso de ferramentas especializadas de entrevista. A campanha Relay aproveita esse ambiente apresentando um requisito técnico plausível no momento exato em que os candidatos estão motivados a demonstrar flexibilidade.
À medida que a participação institucional em ativos digitais se expande, o número de profissionais que possuem tanto credenciais corporativas quanto criptoativos pessoais cresce, aumentando o potencial de retorno por infecção bem-sucedida. Considerações de segurança tornaram-se, portanto, parte integrante do próprio processo de contratação, e não uma apósthought. Empresas que divulgam procedimentos claros de verificação para entrevistas ajudam os candidatos a distinguir processos autênticos de maliciosos. A interação entre oportunidade legítima e crime oportunista molda o atual cenário de risco para candidatos a empregos no setor.
Indicadores e Oportunidades de Detecção para Defensores
A análise estática produz vários indicadores concretos que podem ser incorporados em ferramentas defensivas. A presença de um diretório .back contendo um executável não assinado dentro de uma imagem de disco supostamente de reunião é anômala. No Windows, a combinação de uma interface de progresso do Electron que avança aleatoriamente e um posterior updater.exe não assinado solicitando elevação é distintiva. Os destinos de rede referenciados nas strings decodificadas, juntamente com a tabela específica de ID de extensão, fornecem assinaturas adicionais de detecção. A monitoração comportamental que sinaliza a remoção de atributos de quarentena seguida pelo acesso ao Keychain ou pela criação de entradas disfarçadas na pasta Iniciar pode revelar infecções em andamento.
Regras de detecção de endpoint que monitoram comandos do PowerShell iniciando binários ocultos sob a fachada de processos de atualização adicionam outra camada. A partilha desses indicadores entre grupos da indústria acelera a defesa coletiva. Organizações que processam um grande número de entrevistas técnicas remotas podem se beneficiar do bloqueio em nível de rede de domínios recém-registrados associados à marcação de ferramentas de reunião. A disseminação rápida das descobertas do SlowMist já começou a alimentar feeds de inteligência de ameaças utilizados por plataformas de segurança. A análise reversa contínua de quaisquer variantes observadas aprimorará o conjunto de indicadores ao longo do tempo.
|
A KuCoin está celebrando seu 9º aniversário com uma campanha especial da plataforma cheia de recompensas exclusivas, atividades de negociação e ofertas por tempo limitado. Não perca a chance de participar e aproveitar os benefícios à medida que a exchange comemora nove anos de crescimento e inovação. Visite a página oficial da campanha agora:
|
Conclusão
A campanha Relay reforça a necessidade de tratar cada solicitação de download de software durante o recrutamento como um potencial vetor de ataque. Profissionais que mantêm ambientes de desenvolvimento ativos ou possuem ativos significativos em carteiras de navegador enfrentam risco pessoal elevado. A adoção de carteiras de hardware para holdings principais, a separação rigorosa de dispositivos de entrevista dos sistemas de gerenciamento de ativos e auditorias regulares de extensões de navegador formam controles básicos práticos. As empresas podem reduzir a exposição coletiva publicando procedimentos de entrevista verificados e treinando recrutadores para evitar qualquer exigência de instalação de software pelo candidato.
A sofisticação técnica das armadilhas específicas da plataforma indica que os atacantes continuarão a investir em pacotes de engenharia social bem elaborados enquanto os retornos econômicos permanecerem atraentes. É necessária uma colaboração contínua entre pesquisadores de segurança, canais de relato da comunidade e organizações contratantes para manter a detecção à frente de novas variantes. A conscientização sobre as técnicas específicas documentadas na análise do MistEye capacita indivíduos e equipes a interromper a cadeia de infecção no estágio mais inicial. O incidente destaca, em última análise, que no setor Web3 a fronteira entre oportunidade profissional e roubo direcionado tornou-se cada vez mais tênue, exigindo vigilância correspondente de todos os participantes no processo de contratação.
Perguntas frequentes
Como o malware Relay inicialmente atinge os candidatos a empregos Web3?
Atacantes se passam por recrutadores e entram em contato com profissionais enviando convites para entrevistas. Após estabelecer contato, direcionam o candidato ao site relay.lc, apresentando-o como a plataforma exigida para a reunião por vídeo. A descrição polida dos recursos de transcrição de IA e colaboração faz com que o pedido pareça rotineiro, levando muitas vítimas a baixar e executar os instaladores sem verificação adicional.
Quais dados específicos o malware tenta coletar?
A carga útil visa senhas salvas no navegador, cookies e dados de preenchimento automático do Chrome, Brave, Edge e Arc, juntamente com 286 identificadores de extensões de carteira de criptomoeda e gerenciador de senhas. No macOS, também captura o banco de dados do Keychain de login associado a uma senha fornecida pelo usuário, arquivos de sessão do Telegram, conteúdo do Apple Notes e identificadores do sistema. No Windows, adiciona varredura de memória de processo para parâmetros de carteira desbloqueados e estabelece mecanismos de persistência.
Por que a instalação do macOS instrui os usuários a arrastar um arquivo para o Terminal?
A etapa do Terminal executa um script curto que copia um arquivo executável oculto, remove seu atributo de quarentena e o inicia silenciosamente. Remover a bandeira de quarentena desativa o aviso padrão do macOS que seria exibido ao abrir um arquivo baixado da internet, permitindo que o malware seja executado sem o diálogo normal de confirmação do usuário.
Como a versão do Windows cria a ilusão de uma atualização legítima?
Uma interface baseada em Electron exibe uma barra de progresso que avança de acordo com um temporizador randomizado, sem relação com qualquer atividade real de download ou instalação. As mensagens de status alternam automaticamente até que a barra atinja 80 por cento, momento em que um comando PowerShell solicita privilégios de administrador e inicia um binário secundário oculto.
Os dados do Keychain roubados podem ser usados imediatamente pelos atacantes?
Sim. O malware associa a senha ao diálogo falso com uma cópia do banco de dados do Keychain de login. Como o Keychain geralmente é desbloqueado pela mesma senha, os operadores remotos recebem tanto o armazenamento de credenciais criptografado quanto a chave necessária para descriptografá-lo, permitindo o acesso às senhas armazenadas e outros segredos.
Quais métodos de persistência o malware do Windows emprega?
Após a elevação, a carga útil copia-se para um local oculto sob AppData e cria entradas de inicialização na chave Run do Registro, na chave RunOnce e na pasta Inicialização. As entradas são nomeadas para se assemelhar a componentes legítimos do Windows Update, permitindo que o malware se reinicie após uma reinicialização do sistema.
Disclaimer: Este conteúdo é apenas para fins informativos e não constitui aconselhamento financeiro. Investimentos em criptomoedas envolvem risco. Faça sua própria pesquisa (DYOR).
Aviso legal: Esta página foi traduzida usando tecnologia de IA para sua conveniência. Para informações mais precisas, consulte a versão original em inglês.