Os ataques cibernéticos evoluíram rapidamente nos últimos anos, mas uma nova campanha atribuída ao grupo norte-coreano BlueNoroff Zoom demonstra um nível de sofisticação ainda maior. Pesquisadores da JUMPSEC descobriram uma infraestrutura de phishing altamente organizada que utiliza páginas falsas do Zoom e Microsoft Teams para selecionar cuidadosamente vítimas antes mesmo de entregar o malware.
O diferencial dessa campanha é que ela não ataca qualquer usuário. Antes da infecção, o kit realiza uma análise das carteiras de criptomoedas instaladas no navegador para identificar vítimas de alto valor financeiro. Essa estratégia permite que os criminosos concentrem seus esforços apenas em usuários que realmente possuem ativos digitais relevantes.
Além disso, a operação incorpora vídeos gerados com inteligência artificial, contas legítimas do Telegram comprometidas, reconhecimento automático de carteiras digitais e técnicas avançadas de engenharia social, tornando o ataque extremamente convincente.
Neste artigo você entenderá como funciona o BlueNoroff Zoom, quais são seus riscos e como fortalecer a segurança da informação para evitar esse tipo de ameaça.
O que é o BlueNoroff Zoom?
O BlueNoroff Zoom é uma plataforma de phishing criada para imitar reuniões do Zoom e Microsoft Teams.
Diferentemente de campanhas tradicionais, ela funciona como uma verdadeira operação profissional, composta por diversos módulos responsáveis por:
- Roubar sessões do Telegram;
- Identificar carteiras de criptomoedas;
- Avaliar o potencial financeiro da vítima;
- Controlar remotamente páginas falsas;
- Distribuir malware apenas quando o alvo possui interesse financeiro.
Essa abordagem reduz o risco para os criminosos e aumenta significativamente suas chances de sucesso.
Como começa o ataque
Tudo começa através de uma mensagem enviada por alguém que a vítima conhece.
Na maioria dos casos, os criminosos já invadiram a conta do Telegram de outro profissional do mercado de criptomoedas.
A vítima recebe um convite aparentemente legítimo para uma reunião através do Calendly.
Ao clicar no link, ocorre o seguinte:
- Abre uma página semelhante ao Zoom;
- Solicita acesso à câmera;
- Exibe uma sala de reunião falsa;
- Mantém o usuário aguardando outros participantes.
Enquanto isso, o operador controla toda a sessão em tempo real.
O papel da engenharia social
O sucesso da campanha depende principalmente da confiança.
Os atacantes utilizam:
- contatos conhecidos;
- convites reais;
- páginas praticamente idênticas ao Zoom;
- mensagens convincentes;
- problemas falsos de áudio e vídeo.
Quando a vítima acredita existir um problema técnico, recebe a famosa mensagem:
“Seu microfone não está funcionando. Atualize o SDK do Zoom.”
Na realidade, essa atualização instala o malware.
Reconhecimento de carteiras de criptomoedas
Um dos recursos mais impressionantes do BlueNoroff Zoom é sua capacidade de identificar previamente carteiras digitais.
Antes da instalação do malware, o kit verifica diversas extensões instaladas no navegador.
Entre elas:
- MetaMask;
- Brave Wallet;
- Opera Crypto Wallet;
- Vivaldi Wallet;
- Outras extensões Web3.
Caso nenhuma carteira relevante seja encontrada, os operadores podem simplesmente desistir do ataque.
Por que isso torna o ataque mais perigoso?
Em campanhas tradicionais, o malware é enviado para todos.
Nesta operação, somente vítimas lucrativas recebem a carga maliciosa.
Isso oferece diversas vantagens aos criminosos:
- menor exposição;
- menos detecções;
- maior retorno financeiro;
- operações mais discretas.
Inteligência Artificial torna o golpe ainda mais convincente
Outro detalhe surpreendente é o uso de IA.
Os operadores utilizam:
- rostos gerados por inteligência artificial;
- vídeos pré-gravados;
- linguagem corporal de vítimas anteriores;
- sincronização convincente durante falsas reuniões.
Na prática, a vítima acredita estar conversando com alguém conhecido.
Na verdade, está assistindo a um vídeo cuidadosamente produzido.
Cada nova vítima fornece mais material para futuras campanhas.
Como funciona a cadeia de ataque no Windows
Após convencer o usuário a executar o comando ClickFix, inicia-se uma sequência bastante complexa.
O processo inclui:
Etapa 1
Execução de um carregador PowerShell.
Etapa 2
Download de um VBScript.
Etapa 3
Desativação do Microsoft Defender.
Etapa 4
Inclusão da pasta C:\Users nas exclusões.
Etapa 5
Reinicialização do Defender.
Etapa 6
Coleta de dados do navegador.
Etapa 7
Identificação das carteiras digitais.
Etapa 8
Possível instalação de cargas adicionais.
Como ocorre o ataque no macOS
Usuários da Apple também são alvo.
Nesse caso:
- o ClickFix executa um script Shell;
- baixa um falso instalador do Teams ou Zoom;
- instala um ladrão de informações;
- coleta dados do sistema;
- rouba chaves do Google Chrome armazenadas no iCloud Keychain;
- envia tudo para servidores dos atacantes utilizando um canal do Telegram.
Roubo de contas do Telegram
Outro aspecto extremamente perigoso é o comprometimento do Telegram.
O malware procura informações relacionadas ao Telegram Web nos navegadores:
- Google Chrome;
- Edge;
- Brave;
- Firefox.
Se encontrar sessões válidas, elas podem ser reutilizadas pelos criminosos.
Isso transforma cada vítima em uma nova fonte de ataques.
É justamente essa característica que torna toda a campanha praticamente autossustentável.
Comparativo entre Zoom falso e Zoom legítimo
| Característica | Zoom legítimo | Zoom falso do BlueNoroff |
|---|---|---|
| Domínio oficial | Oficial do Zoom | Typosquatting semelhante |
| Webcam | Apenas videoconferência | Envia vídeo aos operadores |
| Atualizações | Oficiais | Malware disfarçado |
| Participantes | Reais | Vídeos gerados por IA |
| Objetivo | Comunicação | Roubo de dados |
Comparativo entre as versões Zoom e Microsoft Teams
| Recurso | Zoom | Microsoft Teams |
|---|---|---|
| Interface falsa | Sim | Sim |
| Emojis | Limitado | Sim |
| Compatibilidade móvel | Parcial | Melhor suporte |
| Reconhecimento de carteiras | Sim | Mais avançado |
| Engenharia social | Alta | Muito alta |
Por que Zoom e Teams são os principais alvos?
Segundo os pesquisadores, existem diversos motivos.
Ambiente corporativo
Investidores, empresas Web3 e fundos de criptomoedas utilizam amplamente essas plataformas.
Facilidade para typosquatting
Endereços como:
us.zoom.06webin.usparecem extremamente convincentes.
Já URLs como:
meet.google.comsão mais difíceis de imitar.
Atualizações falsas
É comum usuários acreditarem que Zoom ou Teams necessitam de atualizações.
Isso torna o golpe muito mais convincente.
Cinco versões diferentes do kit
A infraestrutura identificada pela JUMPSEC revelou cinco versões distintas do kit de phishing desenvolvidas entre maio e julho de 2026.
Isso demonstra que os operadores continuam:
- corrigindo erros;
- adicionando recursos;
- aprimorando a evasão;
- tornando os ataques mais eficientes.
Ou seja, trata-se de uma campanha em constante evolução.
Como proteger sua organização
Fortalecer a segurança da informação tornou-se indispensável diante de campanhas como o BlueNoroff Zoom.
As principais recomendações incluem:
Capacitação dos colaboradores
Treinar usuários para reconhecer:
- domínios falsos;
- engenharia social;
- atualizações suspeitas;
- solicitações incomuns.
Autenticação Multifator
Ativar MFA em:
- Telegram;
- Zoom;
- Microsoft Teams;
- contas corporativas.
Monitoramento de navegadores
Controlar extensões instaladas reduz significativamente os riscos relacionados às carteiras digitais.
Proteção contra PowerShell
Monitorar comandos PowerShell suspeitos pode impedir boa parte da cadeia de infecção.
Soluções EDR
Ferramentas modernas conseguem identificar:
- scripts maliciosos;
- comportamento anômalo;
- exclusões indevidas do Microsoft Defender;
- execução de malware em memória.
O futuro desse tipo de ataque
Especialistas acreditam que campanhas semelhantes deverão crescer nos próximos anos.
A combinação de:
- inteligência artificial;
- engenharia social;
- vídeos sintéticos;
- reconhecimento financeiro;
- automação de ataques,
permite aos criminosos atingir alvos altamente lucrativos com uma taxa de sucesso muito superior às campanhas tradicionais.
Isso reforça que investir continuamente em segurança da informação deixou de ser apenas uma medida preventiva e passou a ser um requisito estratégico para empresas e usuários que lidam com ativos digitais.
Conclusão
O BlueNoroff Zoom representa uma nova geração de campanhas de phishing altamente direcionadas. Ao combinar inteligência artificial, engenharia social, roubo de sessões do Telegram e análise de carteiras de criptomoedas, o grupo BlueNoroff consegue identificar vítimas de alto valor antes mesmo da instalação do malware.
Essa estratégia reduz a exposição dos criminosos e aumenta significativamente suas chances de sucesso. Para empresas do setor financeiro, investidores e usuários de criptomoedas, adotar boas práticas de segurança da informação é essencial para evitar prejuízos financeiros e proteger dados sensíveis. Investir em treinamento, autenticação multifator, monitoramento contínuo e soluções avançadas de detecção de ameaças é a melhor defesa contra campanhas sofisticadas como essa.
