Pesquisador ‘Vive’ Entre Hackers Norte-Coreanos, Descobre 1.640 Vítimas

Um pesquisador de segurança grego passou 22 meses dentro dos servidores de hacking da Coreia do Norte. Ele saiu com uma lista de vítimas de 1.640 organizações em 57 países.

Vangelis Stykas é o diretor de tecnologia da empresa de segurança Kumio. Ele apresentou as descobertas esta semana na Black Hat em Las Vegas.

Como os Caçadores se Tornaram os Caçados

Stykas inverteu a ordem usual. Ele se infiltrou nos servidores de comando e controle que as equipes usam para executar seu malware.

Em alguns casos, ele acessou seus computadores pessoais. Os hackers haviam infectado essas máquinas eles mesmos.

Então ele simplesmente ficou. Por quase dois anos, ele os observou trabalhar e registrou cada nova vítima à medida que aparecia.

Ele extraiu cerca de cinco terabytes de dados. Continha chaves de desenvolvedor, código-fonte privado e as próprias mensagens do Slack e Discord das equipes.

Esse acesso é a razão pela qual a contagem é precisa. A maioria dos relatórios de ameaças estima as vítimas a partir de fontes externas.

Este contou-as a partir dos próprios arquivos dos atacantes. Das 1.640 organizações, Stykas classifica de 700 a 800 como seriamente comprometidas.

Siga-nos no X para receber as últimas notícias à medida que acontecem

Nesses casos, as equipes tinham acesso root aos servidores, permissões root da Amazon Web Services (AWS) ou chaves de carteiras de criptomoedas.

Uma Oferta de Emprego Foi o Único Exploit que Eles Precisavam

Nenhuma falha de software abriu essas portas. Uma oferta de emprego fez isso.

Desenvolvedores foram abordados com cargos seniores e salários altos. Eles foram então solicitados a realizar um teste de codificação em casa. O teste instalou malware.

Pesquisadores da Palo Alto Networks nomearam o padrão de Entrevista Contagiosa em novembro de 2023. Cinco empresas de segurança desde então rastrearam a mesma equipe sob seis rótulos diferentes.

A Microsoft publicou sua própria análise em março de 2026. Ela rastreou a cadeia até pacotes de código falsos hospedados no GitHub, GitLab e Bitbucket.

Abrir um no Visual Studio Code aciona um prompt de confiança. Aprove isso, e o editor executa o código dos atacantes para eles.

“Ao incorporar a entrega de malware direcionado diretamente em ferramentas de entrevista, exercícios de codificação e fluxos de trabalho de avaliação em que os desenvolvedores confiam inerentemente, os atores de ameaça exploram a confiança que os candidatos colocam no processo de contratação,” dizia um trecho em um blog de segurança da Microsoft em março.

As portas traseiras então buscam uma lista de compras curta. A Microsoft nomeia tokens de API, credenciais de nuvem, chaves de assinatura, carteiras de criptomoedas e arquivos de gerenciador de senhas.

A contratação é um ponto fraco repetido. A Consensys pegou um desenvolvedor norte-coreano oculto em sua própria equipe, um mês após o início do trabalho no código do MetaMask.

Um Contratante, Trinta Portas da Frente

O atrativo é barato. O alcance não é.

Stykas encontrou contratantes carregando credenciais válidas para até 30 empresas. Um único laptop infectado se tornou trinta maneiras de entrar.

O Hospital Infantil de Boston mostra o padrão. Stykas rastreou sua exposição a um dispositivo pessoal de um ex-contratante.

O hospital contesta a formulação. Ele afirma que cortou as credenciais em poucas horas e não encontrou sinais de que seus próprios sistemas foram acessados.

As equipes também eram exigentes. Elas podiam acessar registros de saúde e bancos de dados criminais, mas ignoraram ambos.

Elas foram atrás de carteiras e acesso a blockchain. Coinbase e Uniswap Labs estão entre as organizações que agiram com base em seus avisos.

Essa disciplina aparece nos totais. Equipes ligadas à República Popular Democrática da Coreia (RPDC) roubaram um total reportado de $2,02 bilhões em ativos digitais durante 2025.

A CrowdStrike registrou isso como um aumento de 51% em um ano. Também sinaliza uma equipe que chama de GOLDEN CHOLLIMA por usar iscas de recrutamento para acessar ambientes de nuvem fintech.

Essa é a cadeia que Stykas observou de dentro. A rota humana continua vencendo.

A TRM Labs rastreou o roubo de $285 milhões do Drift Protocol em abril até reuniões presenciais entre proxies norte-coreanos e funcionários.

Dois ataques produziram 76% das perdas de 2026 a partir de apenas 3% dos incidentes. O total acumulado de Pyongyang agora ultrapassa $6 bilhões desde 2017.

Stykas diz que novas vítimas ainda estão surgindo nos dados. A maioria das organizações, ele alertou, nunca respondeu, razão pela qual grupos como Crypto ISAC agora reúnem inteligência sobre ameaças da RPDC.

Fonte: BeInCrypto