Criptomoedas

Pesquisadores identificaram 18 amostras distintas do Acreed, um infostealer avançado que está se tornando popular entre redes de cibercriminosos. A arquitetura do Acreed é notável por seu mecanismo inovador de recuperação de comando e controle (C2), que utiliza tanto a BNB Smartchain Testnet quanto a plataforma de jogos Steam como resolutores de dead drop. Ao embutir instruções criptografadas em transações de blockchain e chamadas legítimas da API do Steam, os atacantes garantem comunicações C2 resilientes que se misturam ao tráfego de rede benigno.

O grupo de ameaças associado à Coreia do Norte, conhecido como Contagious Interview, foi vinculado a uma nova backdoor chamada AkdoorTea, além de outras ferramentas como TsunamiKit e Tropidoor. A campanha, monitorada pela empresa de cibersegurança ESET sob o nome DeceptiveDevelopment, visa desenvolvedores de software em diversas plataformas, especialmente aqueles envolvidos com criptomoedas e projetos Web3. Os atacantes se fazem passar por recrutadores, oferecendo vagas atraentes em plataformas como LinkedIn e Upwork. Após o contato inicial, os alvos são solicitados a realizar uma avaliação em vídeo ou um exercício de programação que, na verdade, instala malware em seus sistemas. Os malwares identificados incluem BeaverTail, que exfiltra dados sensíveis, e WeaselStore, que atua como um RAT (trojan de acesso remoto). A campanha utiliza técnicas de engenharia social e ferramentas de código aberto, demonstrando um modelo de operação distribuído e criativo. Além disso, há uma conexão com um esquema de fraude de trabalhadores de TI da Coreia do Norte, que visa infiltrar agentes em empresas utilizando identidades roubadas. Essa situação representa um risco significativo para a segurança cibernética, especialmente para empresas que operam no setor de tecnologia e criptomoedas.

Autoridades de segurança na Europa prenderam cinco suspeitos envolvidos em um esquema de fraude online que desviou mais de €100 milhões (cerca de $118 milhões) de mais de 100 vítimas na França, Alemanha, Itália e Espanha. A operação, coordenada pela Eurojust, incluiu buscas em cinco locais na Espanha e Portugal, além de ações em Itália, Romênia e Bulgária, resultando no congelamento de contas bancárias e ativos financeiros relacionados ao crime. O principal acusado foi denunciado por fraudes em larga escala e lavagem de dinheiro, operando uma plataforma de investimento online que prometia altos retornos em criptomoedas. Após os depósitos, os fundos eram transferidos para contas na Lituânia para lavagem. Vítimas que tentaram retirar seus investimentos foram solicitadas a pagar taxas adicionais, após o que o site desapareceu. A investigação envolveu várias agências judiciais e de segurança de diferentes países europeus e destacou a crescente preocupação com fraudes online, especialmente em investimentos. Em um contexto mais amplo, a Comissão Federal de Comércio dos EUA relatou perdas recordes de $12,5 bilhões em fraudes em 2024, com os esquemas de investimento sendo os mais prejudiciais. Além disso, um ataque de engenharia social em uma plataforma de blockchain resultou na recuperação de $13 milhões, demonstrando a importância da detecção precoce e ação rápida contra fraudes.

Um incidente alarmante ocorreu com o streamer letão Raivo Plavnieks, conhecido como RastalandTV, que teve mais de R$ 170 mil roubados de sua carteira de criptomoedas após baixar o jogo Block Blasters, disponível na plataforma Steam. O jogo, que estava ativo entre 30 de julho e 21 de setembro de 2025, foi inicialmente considerado seguro, mas em 30 de agosto, recebeu um dropper que instalou um aplicativo malicioso em computadores de jogadores. O malware coletava informações sensíveis, como dados de login do Steam e endereços IP, enviando-os para os golpistas. A investigação revelou que até 478 contas de usuários do Steam foram comprometidas, com perdas totais estimadas em até US$ 150.000. O caso destaca a vulnerabilidade de jogadores que possuem criptomoedas e a necessidade de cautela ao baixar jogos, especialmente aqueles com avaliações positivas, mas que podem esconder malwares. A Valve, responsável pelo Steam, ainda não se pronunciou sobre o incidente. Usuários afetados são aconselhados a trocar suas senhas e transferir seus ativos digitais para carteiras mais seguras.

A Real Polícia Montada do Canadá (RCMP) desmantelou a TradeOgre, uma exchange de criptomoedas, após a maior apreensão de criptomoedas da história do país, totalizando mais de $56 milhões. A operação, anunciada em 18 de setembro de 2025, foi motivada por investigações que começaram em junho de 2024, quando a Europol sinalizou atividades suspeitas na plataforma. A TradeOgre era conhecida por permitir negociações anônimas, sem exigir verificação de identidade, o que a tornava um alvo atrativo para organizações criminosas que buscavam lavar dinheiro. A plataforma não estava registrada no Centro de Análise de Transações Financeiras do Canadá (FINTRAC) e não implementava controles de prevenção à lavagem de dinheiro (AML) ou procedimentos de conhecimento do cliente (KYC), exigidos pela legislação canadense. A análise técnica dos dados de transações em blockchain revelou que a maioria dos ativos digitais movimentados pela TradeOgre tinha origem em atividades criminosas. A operação da RCMP não só resultou na apreensão financeira, mas também na interrupção de uma infraestrutura crítica utilizada por criminosos. A investigação continua, com a possibilidade de novas acusações à medida que os dados da plataforma são analisados.

Uma nova variante do malware BeaverTail, associada a operadores estatais da Coreia do Norte, está sendo utilizada para atacar o setor de varejo e criptomoedas. Desde maio de 2025, os atacantes têm refinado sua infraestrutura de distribuição de malware, utilizando executáveis compilados e iscas de engenharia social através de uma plataforma de contratação falsa. Essa abordagem visa expandir o número de vítimas potenciais, focando em funções de marketing e vendas, ao invés de apenas desenvolvedores de software.

Um grupo hacker conhecido como WhiteCobra está atacando desenvolvedores por meio de extensões falsas para editores de código como VSCode, Cursor e Windsurf. Essas extensões maliciosas têm como objetivo roubar credenciais de acesso e carteiras de criptomoedas. A descoberta foi feita pelo programador Zak Cole, que teve sua carteira comprometida após instalar uma extensão que parecia legítima, mas que possuía um número de downloads inflacionado artificialmente. Pesquisadores da Koi Security identificaram pelo menos 24 extensões falsas disponíveis em marketplaces oficiais, como o Visual Studio Marketplace e Open VSX. O malware se adapta ao sistema operacional do usuário, utilizando scripts que baixam um software malicioso, como o LummaStealer, em Windows e um binário Mach-O em macOS. O grupo WhiteCobra é descrito como altamente organizado, capaz de lançar ataques em menos de três horas. Para evitar esses golpes, os programadores devem verificar a autenticidade das extensões, desconfiar de nomes que imitam extensões conhecidas e analisar a quantidade de downloads e avaliações positivas em um curto período.

Um dos maiores ataques a pacotes do npm foi detectado pela Aikido Security, envolvendo 18 pacotes populares, como chalk e debug, que foram comprometidos para roubar carteiras de criptomoedas. O ataque ocorreu após a invasão de um mantenedor confiável, conhecido como qix, que caiu em um golpe de phishing. Esses pacotes, que somam mais de 2 bilhões de downloads semanais, impactaram um grande número de usuários. O malware injetado altera transações de criptomoedas feitas por navegadores, redirecionando fundos para endereços controlados pelos hackers, mesmo que a interface mostre informações corretas. A detecção do ataque foi rápida, ocorrendo em cinco minutos, e a contenção foi realizada em uma hora, minimizando os danos. Especialistas recomendam que desenvolvedores revertam para versões anteriores dos pacotes afetados e monitorem transações de criptomoedas para evitar perdas. Este incidente destaca a vulnerabilidade de ambientes de desenvolvimento e a necessidade de vigilância constante contra ataques de phishing e malware.

Pesquisadores de cibersegurança da CYFIRMA identificaram um infostealer sofisticado, denominado Salat Stealer (ou WEB_RAT), que opera com uma infraestrutura avançada de comando e controle (C2) para extrair dados sensíveis de sistemas Windows. Este malware é especialmente eficaz na exfiltração de credenciais de navegadores, informações de carteiras de criptomoedas e dados de sessão, utilizando diversas técnicas de evasão para evitar a detecção. O arquivo analisado, com 3,14 MB, apresenta um alto valor de entropia, indicando forte ofuscação. Ao ser executado, o Salat Stealer implementa mecanismos de persistência, como entradas no registro e tarefas agendadas com nomes enganosos, para se disfarçar como processos legítimos do sistema.

Um ataque à cadeia de suprimentos de software comprometeu múltiplos pacotes do npm após o roubo da conta de um mantenedor, Josh Junon, em um ataque de phishing. O e-mail fraudulento, que se disfarçou como uma comunicação oficial do npm, induziu Junon a inserir suas credenciais e token de autenticação de dois fatores (2FA) em uma página falsa. Isso permitiu que os atacantes publicassem versões maliciosas de 20 pacotes populares, que juntos somam mais de 2 bilhões de downloads semanais. O malware injetado foi projetado para interceptar solicitações de transações de criptomoedas, substituindo o endereço da carteira de destino por um controlado pelos atacantes. A análise do código malicioso revelou que ele atua como um interceptor baseado em navegador, comprometendo o tráfego de rede e APIs de aplicativos. O incidente destaca a vulnerabilidade dos ecossistemas de pacotes, como o npm, que são alvos frequentes devido à sua popularidade. Especialistas alertam para a necessidade de vigilância constante e fortalecimento das práticas de segurança nas cadeias de suprimentos de software.

Pesquisadores em cibersegurança descobriram um pacote npm malicioso chamado nodejs-smtp, que se disfarça como uma biblioteca de e-mail legítima (nodemailer) e tem como alvo aplicativos de desktop para carteiras de criptomoedas, como Atomic e Exodus, em sistemas Windows. Desde sua publicação em abril de 2025, o pacote teve 347 downloads antes de ser removido do registro npm. Ao ser importado, ele utiliza ferramentas do Electron para descompactar o arquivo app.asar da Atomic Wallet, substituindo um pacote legítimo por um payload malicioso e reempacotando o aplicativo, eliminando vestígios da operação. O principal objetivo é redirecionar transações de criptomoedas, como Bitcoin e Ethereum, para carteiras controladas pelo atacante, atuando como um ‘clipper’ de criptomoedas. Apesar de sua funcionalidade maliciosa, o pacote ainda opera como um mailer, o que reduz a suspeita dos desenvolvedores. Essa descoberta ressalta os riscos associados a importações rotineiras em estações de trabalho de desenvolvedores, que podem modificar silenciosamente aplicativos de desktop e persistir após reinicializações.

Recentemente, a Mandiant, empresa de cibersegurança pertencente ao Google, revelou que um grupo de ameaças, identificado como UNC5518, está utilizando uma técnica de engenharia social chamada ClickFix para implantar um backdoor versátil conhecido como CORNFLAKE.V3. O ataque começa quando usuários são atraídos para páginas falsas de verificação CAPTCHA, onde são induzidos a executar um script PowerShell malicioso. Este script permite que os atacantes acessem os sistemas das vítimas e implantem cargas adicionais. O CORNFLAKE.V3, que é uma versão atualizada de um backdoor anterior, suporta a execução de diversos tipos de payloads e coleta informações do sistema, transmitindo-as para servidores externos através de túneis do Cloudflare, dificultando a detecção. Além disso, a Mandiant também destacou uma campanha em andamento que utiliza drives USB infectados para implantar mineradores de criptomoedas, demonstrando a eficácia contínua desse vetor de ataque. Para mitigar esses riscos, recomenda-se que as organizações desativem o diálogo de execução do Windows e realizem simulações regulares de engenharia social.

Noah Michael Urban, um jovem de 20 anos, foi condenado a dez anos de prisão nos Estados Unidos por sua participação em uma série de ataques cibernéticos e roubos de criptomoedas, relacionados ao infame grupo de cibercrime conhecido como Scattered Spider. Urban, que se declarou culpado de fraude eletrônica e roubo de identidade agravado, também foi condenado a pagar US$ 13 milhões em restituição às vítimas. Entre agosto de 2022 e março de 2023, ele e seus cúmplices realizaram ataques de SIM swapping, que permitiram o acesso não autorizado a contas de criptomoedas, resultando em um roubo de pelo menos US$ 800 mil de cinco vítimas diferentes. Além disso, o Departamento de Justiça dos EUA revelou que Urban e outros membros do grupo utilizaram técnicas de engenharia social para invadir redes corporativas e roubar dados proprietários, além de desviar milhões de dólares em criptomoedas. O Scattered Spider, que se uniu a outros grupos de cibercrime, está se tornando uma ameaça crescente, utilizando táticas que exploram vulnerabilidades humanas em vez de apenas técnicas. A condenação de Urban destaca a necessidade de vigilância contínua e medidas de segurança robustas para proteger informações sensíveis em um cenário de cibercrime em evolução.

Recentes vazamentos de dados revelaram que grupos patrocinados pelo Estado da Coreia do Norte, como o ‘Jasper Sleet’, estão intensificando suas operações cibernéticas ao se infiltrar em empresas estrangeiras por meio de empregos remotos legítimos, especialmente nas áreas de Web3, blockchain e criptomoedas. A análise de endereços de e-mail vazados mostra padrões críticos que podem ajudar organizações a identificar candidatos fraudulentos antes de conceder acesso aos sistemas corporativos.

Os vazamentos expuseram 1.389 endereços de e-mail, muitos dos quais estavam associados a uma operação anterior, indicando uma infraestrutura operacional bem estabelecida. A maioria dos endereços utiliza o Gmail, com uma significativa presença de serviços de e-mail temporários, sugerindo práticas de segurança operacional sofisticadas. Além disso, a análise de senhas revelou padrões comuns, com algumas senhas únicas que não aparecem em bancos de dados conhecidos.

O Departamento do Tesouro dos EUA renovou sanções contra a plataforma de câmbio de criptomoedas russa Garantex, acusada de facilitar atividades de ransomware e outros crimes cibernéticos, processando mais de US$ 100 milhões em transações ilícitas desde 2019. As sanções também foram estendidas ao sucessor da Garantex, Grinex, e a três de seus executivos. O Tesouro destacou que o uso de ativos digitais para lavagem de dinheiro e ataques de ransomware representa uma ameaça à segurança nacional e prejudica a reputação de provedores legítimos de serviços de ativos virtuais. Garantex já havia sido sancionada em abril de 2022 por facilitar transações de mercados darknet. Após a apreensão do site da Garantex em março de 2025, a plataforma rebranded como Grinex, continuando a processar transações ilícitas. O Tesouro também anunciou recompensas por informações que levem à prisão de executivos da Garantex. Além disso, o Departamento de Justiça dos EUA revelou a apreensão de mais de US$ 2,8 milhões em criptomoedas relacionadas a atividades de ransomware, destacando a importância de ações coordenadas contra redes criminosas.