Agentes de ameaça norte-coreanos por trás de campanhas no estilo ClickFix, que usam domínios com erros de digitação semelhantes aos de Zoom e Microsoft Teams, foram identificados operando um kit ativo de phishing para se passar pelas plataformas de videoconferência em campanhas de engenharia social projetadas para distribuir malware.
“BlueNoroff operacionalizou o abuso de confiança ao combinar contatos do setor comprometidos, engenharia social, reconhecimento de carteiras e entrega de malware em um fluxo repetível de aquisição de vítimas”, afirmou a JUMPSEC em um relatório detalhado.
“A plataforma perfila as carteiras de criptomoedas das vítimas antes da entrega do malware, permitindo seleção direcionada de alvos de alto valor.”
Ao descrever a campanha como uma plataforma de aquisição de vítimas conduzida por operador, a empresa de cibersegurança observou que a atividade envolve o uso de contatos confiáveis comprometidos como vetor inicial de acesso para criar uma cadeia de ataque autopropagável via Telegram.
Os detalhes da operação vêm sendo documentados desde o início de 2025, e a Sekoia passou a monitorar um segundo cluster relacionado e alinhado à Coreia do Norte sob o nome ClickFake Interview, devido ao uso de iscas no estilo ClickFix para enganar alvos desavisados a executar comandos maliciosos sob o pretexto de resolver problemas de câmera ou áudio.
Segundo a JUMPSEC, os links-isca são distribuídos a partir de uma conta em que a vítima já confia e com cuja pessoa já se encontrou presencialmente.
Os atacantes sequestram contas legítimas do Telegram de pessoas ligadas ao setor de criptomoedas para enviar mensagens a executivos de alto escalão de grandes empresas e compartilhar um link de reunião do Calendly.
“Cada vítima que executa o payload com o Telegram Web aberto ou com o Telegram Desktop instalado é um candidato a ter sua sessão do Telegram roubada e reutilizada contra seus próprios contatos”, disse a JUMPSEC, ao descrever a natureza autossustentável da campanha e como o comprometimento de uma conta alimenta o próximo.
O link do Calendly leva a vítima ao que parece ser uma URL de reunião do Zoom, mas, na prática, trata-se de um domínio falso que imita o serviço de videoconferência.
Os usuários que chegam à página de phishing são orientados a informar o nome e conceder permissão para acessar a webcam.
Após a autorização, a transmissão da câmera é enviada de forma discreta ao painel dos operadores via mediasoup WebRTC.
No estágio final, depois que a vítima entra na reunião, ela vê outra página na qual parece estar sozinha em uma chamada do Zoom, acompanhada da mensagem “aguardando outros participantes”.
Isso prepara o terreno para a fase seguinte do ataque.
“Assim que a vítima entra, o operador pode continuar usando seu painel para controlar a reunião, enviar mensagens falsas de ‘seu microfone não está funcionando’ e disparar a ‘atualização do Zoom SDK’, resultando por fim no payload do ClickFix”, explicou a JUMPSEC.
Ao mesmo tempo, o kit executa uma etapa de fingerprinting no navegador para inventariar as carteiras de criptomoedas instaladas.
Em seguida, o “administrador” entra na falsa reunião.
A reviravolta é que o vídeo exibido à vítima não é uma transmissão ao vivo, mas sim um vídeo pré-editado que traz rostos gerados por IA com o ChatGPT da OpenAI, sobrepostos a movimentos corporais autênticos capturados em reuniões anteriores.
“Assim, cada ataque bem-sucedido fornece material de origem para os compósitos usados contra o próximo alvo”, explicou a JUMPSEC.
“Isso, combinado com o método de tomada de conta do Telegram, faz com que a falsa reunião mostre um rosto plausivelmente familiar, em movimento com a linguagem corporal de alguém que realmente foi capturado em vídeo.”
A empresa de cibersegurança informou ter identificado duas variantes distintas da isca, uma para Zoom e outra para Microsoft Teams.
A versão para Teams é considerada mais refinada que a do Zoom e oferece suporte a reações por emoji, bloqueio em dispositivos móveis e tablets, além de verificações avançadas de carteiras antes da entrega do malware.
As cadeias de ataque do ClickFix são compatíveis com Windows e macOS.
Uma breve descrição de cada uma delas é a seguinte.
Cadeia de ataque no Windows:
O comando ClickFix executa um loader em PowerShell que baixa e executa um VBScript, desativa o Microsoft Defender, adiciona a pasta “C:\Users” ao caminho de exclusão e reinicia o Defender à força para que as exclusões sejam aplicadas.
O implante em VBScript verifica a presença de arquivos relacionados ao Telegram Web nos diretórios de perfis do Google Chrome, Microsoft Edge, Brave e Mozilla Firefox, provavelmente para determinar se a vítima tem uma conta ativa no Telegram e, possivelmente, sequestrar os cookies da sessão para tomar controle da conta e usá-la para atingir outras pessoas de interesse.
O implante enumera as extensões instaladas no Chrome, Chrome Beta, Chrome Dev, Chromium, Edge, Brave, Opera, Opera GX, Vivaldi e Firefox, informa os respectivos IDs de extensão e depois os cruza com extensões conhecidas de carteiras, como MetaMask, para identificar alvos de alto valor.
O implante também oferece a capacidade de entregar payloads da próxima etapa, embora a natureza exata deles ainda seja desconhecida.
Cadeia de ataque no macOS:
O comando ClickFix executa um script de shell, que então baixa um instalador falso do Teams ou do Zoom.
O instalador executa o payload principal do stealer para extrair e exfiltrar dados sensíveis, incluindo metadados do sistema e chaves mestras do Google Chrome armazenadas no iCloud Keychain, enviando essas informações ao atacante por meio de um canal do Telegram chamado “Aurora”, além de implantar payloads adicionais.
Análises adicionais determinaram que a função de exfiltração pelo Telegram tem o token do bot e o ID do chat codificados diretamente no binário do stealer.
A consulta à API do Telegram para esse token vinculou a operação a um operador que atende pelo nome de “John” (@alchemy_john_mac).
Ainda em maio de 2026, essa pessoa foi vista perguntando a administradores do grupo de criptomoedas MAIV sobre contratos de vesting e retirada de fundos.
Além disso, a análise da infraestrutura do threat actor levou à descoberta de cinco versões distintas do kit de phishing, entre 31 de maio e 14 de julho de 2026, indicando esforços ativos de desenvolvimento e ajuste fino.
Um aspecto notável da campanha é o foco específico em iscas ligadas a Zoom e Teams, em vez de, por exemplo, Google Meet.
Sean Moran, chefe de pesquisa e capacitação em ameaças da JUMPSEC, disse que há três possíveis razões para isso: o pretexto do ClickFix, a adequação à aplicação-alvo e a superfície de erros de digitação nos domínios.
“O gancho inteiro é ‘o SDK do Zoom/Teams está desatualizado’.
Isso só funciona em plataformas que as vítimas acreditam ter um cliente desktop mais robusto, como Teams e Zoom.
Mas o Google Meet não tem aplicação para desktop e é centrado no navegador, então isso não faz muito sentido ali.
Zoom e Teams são o padrão para muita gente de criptomoedas, capital de risco e fundadores no mundo financeiro, enquanto o Google Meet parece mais uma plataforma para chamadas com clientes do que para ‘chamadas com investidores ou parceiros’.
Todo o esquema de domínios, com nomes como ‘us.zoom.06webin.us’, facilita muito cair na fraude porque eles são muito parecidos com links reais do Zoom, com todos esses subdomínios.
Já ‘meet.google.com’ é mais difícil de reproduzir com erro de digitação ou falsificar.”
Moran também observou que, embora o kit de phishing atualmente só disponibilize páginas de isca para Zoom e Teams, existe um equivalente para Google Meet como um esboço não implementado no código-fonte.
Segundo ele, isso provavelmente é uma escolha deliberada pelos fatores mencionados e pelo fato de a configuração atual já estar funcionando.
“As implicações vão além desta campanha específica.
À medida que Web3 e os ativos digitais amadurecem, os threat actors reconhecem cada vez mais que comprometer as pessoas que controlam o acesso pode ser tão valioso quanto atacar a própria infraestrutura”, concluiu a JUMPSEC.
“O refinamento contínuo da BlueNoroff mostra que as organizações precisam considerar identidade, relacionamentos e canais de comunicação como partes críticas de sua postura de segurança.”
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...