Hackers Norte-Coreanos Usam Tarefas de Programação Falsas para Roubar Criptomoedas

A crescente profissionalização dos ataques cibernéticos tem levado grupos maliciosos a explorarem não apenas vulnerabilidades técnicas, mas também processos legítimos utilizados diariamente por profissionais altamente qualificados. Um exemplo recente dessa tendência foi identificado pela Proofpoint, que documentou uma campanha direcionada a desenvolvedores de software por meio de falsas oportunidades de emprego e solicitações de revisão de código.

A operação, rastreada como UNK_DeadDrop, demonstra como agentes avançados conseguem transformar ferramentas amplamente utilizadas no desenvolvimento de software em vetores de comprometimento. Em vez de explorar falhas de segurança tradicionais, os invasores utilizam repositórios aparentemente legítimos hospedados em plataformas confiáveis como GitHub e GitLab para induzir vítimas a executarem códigos maliciosos.

O principal objetivo da campanha é o roubo de criptomoedas e credenciais sensíveis. Entretanto, a metodologia utilizada revela uma evolução significativa nas técnicas de engenharia social direcionadas ao ecossistema tecnológico, especialmente em organizações ligadas ao setor financeiro e ao mercado de ativos digitais.

Neste artigo, analisamos em profundidade como a campanha funciona, quais são seus mecanismos técnicos, os riscos para empresas e desenvolvedores e quais lições estratégicas podem ser extraídas desse tipo de ameaça.

O problema estratégico: quando o processo de recrutamento se transforma em vetor de ataque

O recrutamento de profissionais de tecnologia tornou-se uma atividade altamente digitalizada. Desenvolvedores frequentemente recebem convites para entrevistas, desafios técnicos e solicitações de revisão de código por meio de plataformas online. Esse cenário cria um ambiente ideal para operações de engenharia social sofisticadas.

Segundo a Proofpoint, o grupo identificado como UNK_DeadDrop enviou mais de 250 e-mails durante abril e maio de 2026. Os alvos incluíam profissionais ligados aos setores de tecnologia, educação e finanças, com foco significativo em empresas relacionadas a criptomoedas.

O aspecto mais preocupante não é apenas o volume da campanha, mas sua capacidade de se integrar a processos considerados normais dentro da rotina de um desenvolvedor. Ao invés de anexos suspeitos ou links claramente fraudulentos, os invasores apresentavam repositórios hospedados em serviços amplamente utilizados pela comunidade técnica.

Essa abordagem reduz significativamente a percepção de risco da vítima. Para muitos profissionais, clonar um repositório e abrir um projeto em um ambiente de desenvolvimento é uma tarefa cotidiana, tornando o ataque particularmente eficaz.

Como os invasores construíram credibilidade

Os pretextos utilizados mudavam continuamente. Em alguns casos, os repositórios eram apresentados como testes técnicos para vagas de desenvolvedor full-stack ou para posições relacionadas a agentes de IA.

Outras abordagens envolviam solicitações de revisão colaborativa de projetos de código aberto, testes relacionados a cofres de contratos inteligentes ERC-4626 e até projetos para desenvolvimento de agentes de pagamento baseados em inteligência artificial.

Essa diversidade de cenários demonstra um entendimento detalhado do mercado de tecnologia e das áreas atualmente em alta demanda. Quanto mais alinhada a proposta estiver às atividades profissionais da vítima, maiores são as chances de sucesso da campanha.

Consequências da inação: por que esse modelo de ataque é particularmente perigoso

Muitas organizações concentram seus investimentos em segurança de perímetro, proteção de endpoints e monitoramento de rede. Embora essas camadas sejam fundamentais, campanhas como a UNK_DeadDrop exploram uma dimensão diferente: a confiança operacional.

Quando um profissional executa voluntariamente um código acreditando tratar-se de uma atividade legítima, diversos controles tradicionais podem perder eficácia. O software malicioso passa a operar dentro de um contexto aparentemente autorizado.

Isso gera um desafio estratégico para equipes de segurança, que precisam diferenciar atividades legítimas de desenvolvimento de comportamentos potencialmente maliciosos executados pelos próprios usuários.

Em setores ligados a ativos digitais, o impacto pode ser ainda mais severo, pois o comprometimento de carteiras ou credenciais pode resultar em perdas financeiras diretas e imediatas.

Impactos para empresas de criptomoedas

A campanha apresentou foco relevante em organizações relacionadas ao mercado de criptomoedas. Esse direcionamento faz sentido do ponto de vista do atacante, pois desenvolvedores frequentemente possuem acesso privilegiado a sistemas, ambientes de teste, credenciais e ativos digitais.

O comprometimento de um único profissional pode abrir caminho para o acesso a recursos corporativos críticos. Além disso, muitas empresas do setor mantêm ambientes altamente distribuídos, aumentando a superfície potencial de ataque.

Mesmo quando o objetivo inicial é o roubo de ativos pessoais, o acesso obtido pode gerar riscos secundários para a organização, incluindo exposição de informações confidenciais e comprometimento de processos internos.

Fundamentos da solução utilizada pelos atacantes

O diferencial técnico da campanha está na exploração de recursos legítimos dos ambientes de desenvolvimento. Em vez de depender de vulnerabilidades conhecidas, os invasores utilizam funcionalidades previstas pelos próprios softwares.

Cada repositório continha um arquivo oculto chamado tasks.json. Esse componente era configurado para ser executado imediatamente após a abertura da pasta do projeto em determinados editores.

O mecanismo aproveita recursos legítimos de automação presentes em ferramentas de desenvolvimento modernas. Como consequência, a atividade inicial pode parecer completamente normal do ponto de vista do usuário.

A sofisticação reside justamente nessa combinação entre legitimidade operacional e intenção maliciosa.

Diferenças observadas entre VS Code e Cursor

A análise da Proofpoint identificou diferenças relevantes no comportamento dos ambientes utilizados como vetor de execução.

No Visual Studio Code, existe um mecanismo de confiança que exibe um alerta antes da execução de determinadas tarefas automatizadas. Embora não elimine completamente o risco, esse recurso adiciona uma camada de conscientização ao processo.

Já no Cursor, segundo o relatório, o payload era executado sem a apresentação de um aviso equivalente, permitindo que a cadeia de comprometimento fosse iniciada sem interação adicional da vítima.

Esse detalhe evidencia como diferenças aparentemente pequenas em fluxos de segurança podem produzir impactos significativos na superfície de ataque.

Arquitetura do malware e persistência da ameaça

Após a execução inicial, o malware instala uma extensão maliciosa do VS Code disfarçada como um serviço relacionado ao Google. Essa estratégia busca dificultar a identificação da ameaça pelos usuários.

A extensão também é utilizada para garantir persistência, reiniciando os componentes maliciosos sempre que o ambiente de desenvolvimento é reaberto em sistemas macOS ou Linux.

Esse comportamento demonstra um objetivo de permanência prolongada no dispositivo comprometido, ampliando as oportunidades de coleta de informações sensíveis.

Ao estabelecer persistência por meio de componentes associados ao ambiente de desenvolvimento, os atacantes conseguem permanecer próximos das atividades mais relevantes para seus objetivos.

Diferentes cadeias de ataque por sistema operacional

Após a fase inicial, a campanha se divide em diferentes caminhos de execução conforme a plataforma utilizada pela vítima.

Nos ambientes Linux e macOS, os sistemas recebem um trojan de acesso remoto desenvolvido em Go utilizando o framework open source Overlord.

No Windows, a abordagem é distinta. O código é executado diretamente como JavaScript dentro do editor, sem a necessidade de gravar arquivos no disco.

Essa estratégia reduz artefatos persistentes e pode dificultar processos tradicionais de detecção baseados em análise de arquivos.

O objetivo final: roubo de criptomoedas e credenciais

Independentemente da plataforma utilizada, todas as variantes convergem para um mesmo propósito operacional: coletar credenciais e acessar ativos digitais.

O malware realiza verificações abrangentes em navegadores e aplicativos relacionados ao gerenciamento de criptomoedas. A amplitude dessa coleta sugere planejamento cuidadoso para maximizar o retorno da operação.

Além dos ativos financeiros, informações de autenticação também possuem valor significativo, podendo ser utilizadas em operações futuras ou comercializadas em mercados clandestinos.

A combinação de credenciais, cookies e acesso a carteiras cria múltiplas oportunidades de exploração para os invasores.

Carteiras de criptomoedas visadas

A Proofpoint identificou a busca por diversas soluções amplamente utilizadas no mercado.

Entre elas estão extensões de navegador como MetaMask, Phantom e Keplr. O malware também procura aplicativos desktop como Exodus, Electrum e Ledger Live.

Essa abrangência demonstra que os atacantes não estão focados em um único ecossistema blockchain, mas sim em maximizar a cobertura de possíveis vítimas.

Quanto maior a diversidade de ferramentas monitoradas, maior o potencial de obtenção de ativos digitais.

Coleta de dados de navegadores

Além das carteiras digitais, a campanha procura credenciais armazenadas em navegadores populares.

Chrome, Brave, Edge e Firefox estão entre os alvos identificados. Informações como senhas salvas e cookies podem permitir acesso a diversos serviços corporativos e pessoais.

Esse tipo de dado frequentemente representa um ativo estratégico para invasores, pois pode ser reutilizado em campanhas posteriores.

Em muitos casos, o comprometimento de uma credencial pode servir como ponto de partida para ataques mais amplos.

Técnicas de elevação de privilégios e evasão

Outro aspecto relevante da campanha é a tentativa de obter acesso a informações protegidas por mecanismos nativos dos sistemas operacionais.

As versões para macOS e Linux exibem caixas de diálogo falsas solicitando senhas aos usuários. A credencial capturada é posteriormente reutilizada para elevar privilégios e acessar conteúdos protegidos.

Essa abordagem combina engenharia social com técnicas de acesso privilegiado, ampliando significativamente o alcance do comprometimento.

Ao explorar a confiança do usuário, os atacantes evitam depender exclusivamente de vulnerabilidades técnicas.

Extração de informações protegidas

Segundo a análise, as credenciais coletadas permitem que o malware acesse conteúdos armazenados em mecanismos de proteção do sistema.

No Windows, a variante observada busca contornar a proteção vinculada ao aplicativo Chrome para acessar dados armazenados.

Após concluir a coleta e o envio das informações, o malware remove seus próprios arquivos, reduzindo evidências locais.

Esse comportamento demonstra preocupação dos operadores em dificultar investigações forenses e reduzir a probabilidade de detecção posterior.

Melhores práticas avançadas para organizações e desenvolvedores

A campanha evidencia a necessidade de expandir a visão tradicional de segurança para incluir processos de desenvolvimento e recrutamento.

Ambientes de desenvolvimento modernos possuem amplas capacidades de automação. Embora fundamentais para produtividade, essas funcionalidades também podem ser exploradas por agentes maliciosos.

Por esse motivo, avaliações de confiança de repositórios e validações de origem tornam-se elementos essenciais da governança de segurança.

Organizações que empregam desenvolvedores devem considerar controles específicos para análise de projetos externos antes de sua execução.

Governança e validação de código externo

Repositórios recebidos durante processos seletivos ou colaborações externas devem ser tratados com o mesmo rigor aplicado a outros conteúdos potencialmente sensíveis.

A simples hospedagem em plataformas populares não deve ser interpretada como garantia de legitimidade.

A análise prévia de arquivos de configuração e mecanismos de automação pode reduzir significativamente a exposição a esse tipo de ameaça.

Além disso, processos formais de validação ajudam a criar padrões consistentes para toda a organização.

Medição de sucesso na proteção contra esse tipo de ameaça

O combate a campanhas baseadas em engenharia social exige indicadores que vão além das métricas tradicionais de malware detectado.

Organizações devem avaliar sua capacidade de identificar comportamentos anômalos associados a ferramentas legítimas utilizadas pelos colaboradores.

Também é importante medir a eficácia dos processos de conscientização relacionados a recrutamento, colaboração técnica e uso de repositórios externos.

Quanto maior a integração entre equipes de desenvolvimento e segurança, maior tende a ser a capacidade de resposta diante de ameaças semelhantes.

Conclusão

A campanha atribuída ao cluster UNK_DeadDrop demonstra a evolução contínua das operações direcionadas ao setor de tecnologia e ao mercado de criptomoedas. Em vez de depender exclusivamente de falhas técnicas, os invasores exploram fluxos legítimos de trabalho para aumentar suas chances de sucesso.

A utilização de falsas oportunidades de emprego, solicitações de revisão de código e projetos aparentemente legítimos evidencia um alto nível de adaptação às práticas da comunidade de desenvolvimento. O uso de GitHub, GitLab, VS Code e Cursor reforça a capacidade dos agentes maliciosos de operar dentro de ambientes amplamente confiáveis.

Outro aspecto relevante é a combinação de engenharia social, persistência, coleta de credenciais e busca direcionada por carteiras de criptomoedas. Essa convergência transforma cada desenvolvedor em um potencial ponto de entrada para ativos digitais e informações estratégicas.

Conforme destacado pela Proofpoint, embora a atribuição definitiva permaneça em investigação, a atividade apresenta características que justificam monitoramento contínuo. Para organizações e profissionais de tecnologia, o principal aprendizado é claro: a confiança em ferramentas legítimas não elimina a necessidade de validação rigorosa de conteúdos externos e processos de colaboração.