Hackers norte-coreanos usam novas táticas: pague US$ 500 para ser contratado e depois se passar por funcionários

Original | Odaily Planet Daily (@OdailyChina)

Autor｜Wenser（@wenser 2010）

Lembra-se do hacker norte-coreano que entrou na carteira MetaMask por meio de terceirização? (Recomendamos a leitura de “Quase! Um funcionário terceirizado quase destruiu a MetaMask”)

E aquele hacker norte-coreano exposto por uma operação de phishing de uma empresa falsa DeFi? (Recomendamos a leitura: “O Grande Espectáculo de Phishing Anual: Uma DeFi Falsa Revela os Verdadeiros Hackers Lazarus da Coreia do Norte”)

Assim como empresas de segurança que realizam operações de atração ativa, os hackers da Coreia do Norte estão aprimorando suas “táticas de ataque”, passando inicialmente de vulnerabilidades técnicas para ataques de engenharia social, depois para contratação externa e entrada remota em projetos criptografados. Recentemente, suas técnicas de infiltração adquiriram um novo formato: contratam pessoas para passar em entrevistas em empresas de criptomoedas, depois substituem esses indivíduos para assumir os cargos, infiltram-se e aguardam o momento oportuno para realizar ataques técnicos internos e roubar ativos criptográficos e informações sensíveis.

Um mês depois, houve novos desenvolvimentos na guerra entre a empresa de segurança e os hackers norte-coreanos, e um novo tipo de golpe surgiu.

Primeiro, vamos entender o “histórico” dos hackers norte-coreanos: dados da empresa de segurança CrowdStrike mostram que, em 2025, as perdas de criptomoedas causadas por hackers e atores de ameaça associados ao Estado norte-coreano superaram 2 bilhões de dólares americanos, um aumento de 51% em relação ao ano anterior; o banco central da Coreia do Sul estima que, apesar das sanções conjuntas globais, a taxa de crescimento do produto interno bruto (PIB) da Coreia do Norte em 2025 foi de 3,5%.

A informação atualmente confirmada é que os hackers da Coreia do Norte, como parte do “exército nacional”, também contribuíram significativamente para o crescimento econômico do país.

Em 31 de julho deste ano, o Departamento de Estado dos Estados Unidos e o FBI, em conjunto com o Japão, Coreia do Sul, Austrália, Canadá, França, Alemanha, Itália, Holanda, Nova Zelândia e Reino Unido, entre outros 11 países, emitiram um relatório de segurança intitulado “Alerta sobre trabalhadores de TI da Coreia do Norte”.

O relatório contém uma grande quantidade de informações, incluindo os seguintes pontos principais:

Em primeiro lugar, a Coreia do Norte depende de uma rede de desenvolvedores tecnológicos implantados no interior e no exterior para ações externas, enviando esses técnicos para obter identidades falsas, trabalhar remotamente e ganhar dinheiro, transferindo posteriormente os salários para contas de instituições governamentais norte-coreanas. Os fundos relacionados são finalmente utilizados para o desenvolvimento e avanço dos programas de armas nucleares e mísseis balísticos da Coreia do Norte.

Em segundo lugar, com base no conteúdo específico do trabalho dos hackers norte-coreanos, esses desenvolvedores técnicos geralmente obtêm empregos e os respectivos salários por meio de plataformas online de emprego, aquisição e contratação operadas por empresas privadas no exterior, utilizando identidades falsas de cidadãos de outros países.

Mais uma vez, além disso, os técnicos de serviço norte-coreanos não apenas recebem o salário normal de empregados, mas também representam uma ameaça interna elevada às informações comerciais e ativos comerciais das empresas em que atuam. Uma parcela significativa deles aproveita essa oportunidade para participar de roubo de dados, roubo de criptomoedas e roubo de informações sensíveis.

Por fim, em termos de métodos de implementação concreta, as atividades de preparação e as táticas operacionais dos hackers norte-coreanos tornaram-se cada vez mais complexas, incluindo até o uso de modelos e ferramentas de IA para criar identidades falsas e realizar atividades ilegais globalmente.

É digno de nota que a informação mais importante mencionada neste relatório é que, com base nas entrevistas pessoais anteriores, os hackers norte-coreanos recentemente atualizaram seu "fluxo de trabalho" —

• Atualmente, eles frequentemente recrutam previamente alguns profissionais de tecnologia de terceiros países (como Irã, Líbano, etc.) por meio de sites de recrutamento como o LinkedIn;
• Em seguida, os hackers da Coreia do Norte solicitam que alguns desenvolvedores técnicos trabalhem como colaboradores temporários sob o título de “assistentes de entrevista”, oferecendo remuneração em criptomoeda de 500 dólares mensais para ajudá-los a ingressar na empresa-alvo.
• Por fim, os hackers da Coreia do Norte substituem-se a si mesmos, entrando na empresa-alvo como membros da equipe, permitindo-lhes realizar a penetração técnica, enquanto recebem o salário correspondente ao cargo e aguardam a oportunidade para roubar informações e dados sensíveis, ativos de criptomoedas e códigos técnicos, entre outros ativos comerciais.

Sem dúvida, na contínua batalha de ataque e defesa de segurança, os hackers da Coreia do Norte também estão aprimorando gradualmente seu “SOP (fluxo de trabalho)”, e seu objetivo final, naturalmente, é retornar os fundos ao seu país.

Atualmente, as táticas dos hackers norte-coreanos são difíceis de prevenir, mas ainda assim são detectáveis. Abaixo estão alguns indicadores que as empresas devem estar atentas e verificar:

Para empresas que operam plataformas online, é necessário prestar atenção especial aos seguintes aspectos:

• Funcionários alteram frequentemente as informações de registro (nome de usuário, contatos, conta bancária de recebimento, etc.).
• O nome do titular do documento de identidade do funcionário não corresponde ao nome da conta de pagamento registrada.
• Criar várias contas de recebimento usando o mesmo documento de identidade.
• Os documentos de verificação de identidade parecem ser falsos ou gerados/editados com software de edição de imagens ou ferramentas de geração de imagens por IA.
• Várias contas técnicas estão fazendo solicitações de acesso a partir do mesmo endereço IP.
• Uma única conta realizou solicitações de acesso de vários endereços IP em um curto período de tempo.
• A conta permaneceu logada por um período prolongado anormal.
• Horas de trabalho acumuladas ou indicadores de trabalho relacionados anormais (como tempo online excessivo, eficiência de trabalho muito alta ou carga de trabalho excessiva).
• Usuários de sites de emprego criam avaliações falsas para aumentar a classificação do site de trabalho, entre outros.

Para empresas que contratam funcionários ou realizam entrevistas e contratam terceirizados, prestar atenção a estes detalhes pode evitar oportunamente a penetração interna por hackers norte-coreanos:

• O candidato possui erros ou expressões pouco naturais no perfil, sugerindo baixa proficiência no idioma nacional (considerando a popularidade dos serviços de tradução por IA, deve-se prestar mais atenção à expressão linguística).
• Na reunião por vídeo, detalhes falsificados foram expostos, como fotos que não correspondem às informações de identidade; a imagem da reunião por vídeo foi gerada por IA ou com a colaboração de terceiros, com expressão linguística e gestos naturais.
• O candidato recusou-se a participar da reunião por vídeo e recusou-se a mostrar o rosto.
• The labor compensation quote is below the general market price.
• Mostra que a conta técnica pessoal é operada por várias pessoas (geralmente indicando que esse tipo de atividade de hacking é frequentemente realizada por equipes, e os interlocutores reais podem variar ao longo do tempo).
• Exigir pagamento em criptomoeda e recusar fornecer informações completas de conta bancária e conta de pagamento.