Hackers ligados ao regime da Coreia do Norte refinaram suas táticas para gerar receita ilícita, agora transformando o próprio processo de recrutamento de talentos em uma arma. Uma operação rastreada como WaterPlum tem se passado por recrutadores para infectar mais de 30 mil dispositivos e roubar mais de US$ 10 milhões em criptoativos, segundo um alerta conjunto de agências de segurança dos EUA, Alemanha, Japão e Austrália.

A isca é uma vaga de emprego atraente, direcionada a engenheiros de software, designers e especialistas em Web3. Durante o falso processo seletivo, os candidatos são instruídos a baixar e executar arquivos que parecem ser testes de código ou desafios técnicos. Na realidade, os arquivos instalam malwares que dão aos atacantes acesso persistente aos computadores das vítimas, uma evolução perigosa na aplicação de engenharia social para fins de espionagem e crime financeiro.

Do Infiltrado ao Invasor

Até então, a tática mais notória da Coreia do Norte era a infiltração de seus próprios trabalhadores de TI em empresas ocidentais. Estima-se que cerca de 100 mil norte-coreanos atuem ou busquem trabalho remotamente no exterior, gerando uma receita de até US$ 500 milhões anuais para o regime de Kim Jong Un. Nesse modelo, o objetivo é conseguir o emprego para extrair salários e, eventualmente, propriedade intelectual de dentro da companhia.

A campanha WaterPlum inverte essa lógica. Em vez de infiltrar seus agentes, os hackers agora atacam a própria fonte de talentos. O alvo não é mais a empresa, mas o profissional em busca de uma oportunidade. É uma estratégia mais escalável e sutil: ao comprometer o dispositivo de um desenvolvedor, os atacantes não apenas roubam seus ativos imediatamente, mas também plantam um cavalo de Troia que pode, no futuro, dar-lhes acesso à rede de um empregador legítimo.

O Fator Humano como Vetor

O sucesso da operação reside na exploração de um processo padrão e legítimo do mercado de tecnologia. Um teste de código é uma etapa esperada e quase obrigatória para qualquer desenvolvedor que busca uma nova posição. Ao transformar essa formalidade em um vetor de ataque, os hackers se aproveitam da confiança e da ambição dos profissionais, que se tornam cúmplices involuntários da sua própria violação de segurança.

O ataque não termina com a falsa entrevista. Uma vez instalado, o malware — que inclui trojans de acesso remoto (RATs) e ladrões de informação — permite o roubo contínuo de credenciais, dados de carteiras de criptomoedas e até documentos de identidade, que podem ser usados para fraudes futuras. A ameaça se torna persistente, superando o simples golpe financeiro e se estabelecendo como uma porta de entrada para ataques corporativos complexos e de longo prazo.

Para empresas e profissionais de tecnologia, a lição é sóbria. A superfície de ataque se expandiu para incluir interações profissionais antes consideradas seguras. Em um ecossistema onde a busca por talentos é acirrada, a diligência agora precisa ir além da análise de currículos e incluir um ceticismo saudável sobre cada etapa do processo seletivo. A próxima grande violação de segurança pode não começar com um e-mail de phishing, mas com uma proposta de emprego irrecusável.

Com reportagem de Brazil Valley

Source · The Register