Hackers norte-coreanos criam empresas falsas nos EUA para atingir profissionais do setor cripto
Hackers cibernéticos ligados ao governo da Coreia do Norte conseguiram registrar duas empresas nos Estados Unidos com o objetivo de disseminar malware entre desenvolvedores do setor de criptomoedas — uma ação que viola diretamente sanções impostas pelo Departamento do Tesouro norte-americano. A denúncia foi feita por pesquisadores da empresa de segurança Silent Push e confirmada por documentos analisados pela agência Reuters.
As empresas de fachada, Blocknovas LLC e Softglide LLC, foram registradas nos estados do Novo México e de Nova York, respectivamente, utilizando identidades e endereços falsos. Uma terceira entidade, a Angeloper Agency, também está associada ao esquema, mas não aparece oficialmente registrada nos EUA.
Segundo Kasey Best, diretor de inteligência de ameaças da Silent Push, o caso é um exemplo raro de hackers norte-coreanos conseguindo legalizar entidades nos EUA para operar como frentes comerciais. “Eles usaram essas empresas para enganar profissionais com falsas ofertas de emprego e, assim, infectá-los com softwares maliciosos”, afirmou Best.
Os ataques estão ligados a um subgrupo do Lazarus Group, uma célula de elite de hackers controlada pelo Reconnaissance General Bureau, principal agência de inteligência estrangeira da Coreia do Norte.
De acordo com o FBI, que já apreendeu o domínio da Blocknovas, os hackers utilizavam o site para atrair vítimas por meio de anúncios de emprego fraudulentos. Embora a agência federal tenha evitado comentar diretamente sobre os casos específicos, um alerta publicado nesta quinta-feira no site da Blocknovas confirma que o domínio foi confiscado como parte de uma operação contra crimes cibernéticos patrocinados por Pyongyang.
Antes da apreensão, autoridades do FBI já haviam declarado à Reuters que seguem empenhadas em impor riscos e consequências não apenas aos hackers, mas também a todos os que facilitam essas operações ilegais. Um porta-voz do órgão classificou as ações da Coreia do Norte como “uma das ameaças cibernéticas persistentes mais avançadas enfrentadas pelos EUA”.
A Reuters revisou os registros comerciais das duas empresas. A Blocknovas fornecia um endereço em Warrenville, na Carolina do Sul, que, segundo o Google Maps, corresponde a um terreno baldio. Já a Softglide foi registrada a partir de um pequeno escritório de contabilidade em Buffalo, Nova York. Nenhuma das pessoas listadas nos documentos pôde ser localizada.
Os alvos principais da operação eram desenvolvedores que trabalham com criptoativos. Os hackers utilizavam identidades falsas para se passar por recrutadores, conduzindo entrevistas fictícias com o intuito de instalar malwares sofisticados. O objetivo era roubar carteiras de criptomoedas, credenciais de acesso e outras informações sensíveis, que poderiam ser usadas em ataques futuros a empresas legítimas.
Entre os malwares detectados, a Silent Push identificou pelo menos três tipos distintos, todos vinculados a operações anteriores de espionagem cibernética atribuídas à Coreia do Norte. Esses malwares permitem desde o roubo de dados até o acesso remoto a redes corporativas e a instalação de novas ameaças.
A atividade representa uma escalada nos métodos usados por Pyongyang para financiar seus programas militares e nucleares. Além de ataques cibernéticos e roubo de criptoativos, os EUA, a Coreia do Sul e a ONU apontam que o regime norte-coreano envia milhares de profissionais de TI ao exterior para gerar receita em benefício do governo.
A criação de empresas em solo americano controladas por hackers norte-coreanos configura uma violação direta às sanções do Escritório de Controle de Ativos Estrangeiros (OFAC), ligado ao Departamento do Tesouro dos EUA. Também infringe as sanções das Nações Unidas, que proíbem atividades comerciais com o objetivo de sustentar o regime militar norte-coreano.
Questionado, o Departamento de Estado de Nova York disse que não comenta casos individuais. Já o gabinete do secretário de Estado do Novo México confirmou que a Blocknovas foi registrada dentro das regras estaduais, mas que não havia como identificar previamente sua ligação com a Coreia do Norte.
A investigação foi conduzida por A.J. Vicens (Detroit), Anton Zverev e James Pearson (Londres), com reportagens adicionais de Raphael Satter (Washington), Andrew Hay (Novo México) e Michelle Nichols (Nova York).
