North Korea

O Drift Protocol, uma plataforma de negociação DeFi baseada na blockchain Solana, sofreu um ataque sofisticado que resultou na perda de pelo menos $280 milhões. O ataque foi atribuído a hackers norte-coreanos, conforme indicado por empresas de inteligência em blockchain, como Elliptic e TRM Labs. Os atacantes utilizaram contas de nonce duráveis e transações pré-assinadas para atrasar a execução de suas ações até um momento escolhido, permitindo que tomassem o controle administrativo da plataforma rapidamente. O ataque ocorreu entre 23 e 30 de março, culminando em uma transação legítima seguida pela execução de transações maliciosas em 1º de abril, o que resultou na transferência de controle administrativo para o hacker. Após a detecção de atividades incomuns, o Drift Protocol emitiu um alerta público e congelou suas operações. A plataforma está colaborando com firmas de segurança e autoridades para rastrear e congelar os fundos roubados, prometendo um relatório detalhado sobre o incidente em breve.

O grupo de ameaças cibernéticas norte-coreano conhecido como ScarCruft foi associado a uma nova campanha de malware chamada Ruby Jumper, que utiliza ferramentas sofisticadas para vigilância e controle de sistemas. A campanha, descoberta pela Zscaler ThreatLabz em dezembro de 2025, envolve o uso de um backdoor que se comunica via Zoho WorkDrive, além de implantes que utilizam mídias removíveis para transmitir comandos e invadir redes isoladas.

Quando um usuário abre um arquivo LNK malicioso, um comando PowerShell é executado, permitindo que o malware extraia múltiplos payloads embutidos. Entre os payloads estão o RESTLEAF, que utiliza Zoho WorkDrive para comunicação de comando e controle, e o THUMBSBD, que se disfarça como um arquivo Ruby e pode coletar informações do sistema, exfiltrar arquivos e executar comandos arbitrários. O THUMBSBD também distribui o FOOTWINE, que possui capacidades de keylogging e captura de áudio e vídeo.

Uma nova onda de ataques de cadeia de suprimentos, denominada “Contagious Interview”, foi identificada, envolvendo mais de 338 pacotes JavaScript maliciosos no registro npm, atribuídos a hackers norte-coreanos. Esses atacantes utilizam perfis falsos de recrutadores e dependências com nomes semelhantes para enganar desenvolvedores de Web3, blockchain e criptomoedas. A operação já acumulou mais de 50.000 downloads. Os ataques seguem um modelo repetível que se alinha ao modelo Lockheed Martin Cyber Kill Chain, começando com a pesquisa no LinkedIn e culminando na instalação de pacotes infectados. Um exemplo notável é o pacote chamado eslint-detector, que executa cargas úteis de roubo de informações durante a instalação. Os atacantes também utilizam técnicas de typosquatting para camuflar módulos maliciosos, imitando bibliotecas npm populares. Apesar de algumas contas de atacantes terem sido removidas, pelo menos 25 pacotes ainda estão ativos. Especialistas em segurança recomendam que os registros adotem defesas em camadas e que as equipes de desenvolvimento tratem cada instalação do npm como uma execução de código, implementando varreduras de segurança e bloqueando uploads de alto risco.

Um recente vazamento de dados, publicado na revista Phrack, revelou um conjunto de malware sofisticado para Linux, associado a um grupo de ameaças supostamente alinhado ao governo norte-coreano. O vazamento, que parece ter origem em uma violação da infraestrutura dos atacantes, expõe táticas operacionais avançadas utilizadas contra organizações governamentais e do setor privado da Coreia do Sul e Taiwan. O malware em questão é um rootkit baseado em um módulo de kernel carregável (LKM), projetado para evitar a detecção tradicional e garantir acesso persistente e oculto a sistemas Linux. Entre suas características estão a ocultação de módulos, evasão de processos e redes, e técnicas anti-forense que dificultam a reconstrução de atividades. Os pesquisadores de segurança alertam que as defesas tradicionais são insuficientes para detectar tais ameaças, e recomendam que, se um sistema for comprometido a nível de kernel, ele deve ser isolado e reconstruído imediatamente. Este incidente destaca a crescente sofisticação das operações ligadas ao estado norte-coreano, que utilizam técnicas de stealth em nível de kernel para infiltrar redes sem serem detectados.