Grupo Lazarus Destina Desenvolvedores Web3 com Perfis Falsos do LinkedIn na Operação 99
O Grupo Lazarus, ligado à Coréia do Norte, foi atribuído a uma nova campanha de ataque cibernético apelidada Operação 99 isso visava desenvolvedores de software que procuravam Web3 freelance e trabalho de criptomoeda para fornecer malware.
“A campanha começa com recrutadores falsos, posando em plataformas como o LinkedIn, atraindo desenvolvedores com testes de projetos e revisões de código”, disse Ryan Sherstobitoff, vice-presidente sênior de Pesquisa e Inteligência de Ameaças da SecurityScorecard disse em um novo relatório publicado hoje.
“Uma vez que uma vítima pega a isca, eles são direcionados para clonar um repositório malicioso do GitLab – aparentemente inofensivo, mas repleto de desastre. O código clonado se conecta a servidores de comando e controle (C2), incorporando malware no ambiente da vítima.”
As vítimas da campanha foram identificadas em todo o mundo, com uma concentração significativa registrada na Itália. Um número menor de vítimas afetadas está localizado na Argentina, Brasil, Egito, França, Alemanha, Índia, Indonésia, México, Paquistão, Filipinas, Reino Unido e EUA.
A empresa de segurança cibernética disse que a campanha, que descobriu em 9 de janeiro de 2025, se baseia em táticas com tema de trabalho anteriormente observado em ataques de Lázaro, tais como Operação Dream Job (também conhecido como NukeSped), para se concentrar particularmente em direcionar desenvolvedores nos campos Web3 e criptomoeda.
O que torna a Operação 99 única é que ela atrai desenvolvedores com projetos de codificação como parte de um elaborado esquema de recrutamento que envolve a criação de perfis enganosos do LinkedIn, que são usados para direcioná-los para repositórios desonestos do GitLab.
O objetivo final dos ataques é implantar implantes de roubo de dados capazes de extrair código-fonte, segredos, chaves de carteira de criptomoedas e outros dados confidenciais de ambientes de desenvolvimento.
Estes incluem Main5346 e sua variante Main99, que serve como um downloader para três cargas úteis adicionais –
- Payload99/73 (e seu funcionalmente semelhante Payload5346), que coleta dados do sistema (por exemplo, arquivos e conteúdo da área de transferência), encerra processos do navegador da Web, executa arbitrariamente e estabelece uma conexão persistente com o servidor C2
- Brow99/73, que rouba dados de navegadores da web para facilitar o roubo de credenciais
- MCLIP, que monitora e filtra a atividade do teclado e da área de transferência em tempo real
“Ao comprometer as contas dos desenvolvedores, os invasores não apenas filtram a propriedade intelectual, mas também obtêm acesso a carteiras de criptomoedas, permitindo roubo financeiro direto”, disse a empresa. “O roubo direcionado de chaves privadas e secretas pode levar a milhões em ativos digitais roubados, promovendo os objetivos financeiros do Grupo Lazarus.”
A arquitetura de malware adota um design modular e é flexível e capaz de funcionar em sistemas operacionais Windows, macOS e Linux. Ele também serve para destacar a natureza em constante evolução e adaptável das ameaças cibernéticas dos estados-nação.
“Para a Coréia do Norte, o hacking é uma tábua de salvação geradora de receita”, disse Sherstobitoff. “O Grupo Lazarus tem consistentemente canalizado criptomoedas roubadas para alimentar as ambições do regime, acumulando somas surpreendentes. Com a Web3 e as indústrias de criptomoedas crescendo, a Operação 99 concentra-se nesses setores de alto crescimento.”