Uma campanha atribuída ao grupo norte-coreano NICKEL ALLEY tem utilizado falsas oportunidades de emprego para distribuir malware e comprometer sistemas de desenvolvedores de software. A operação, analisada pela Sophos, combina engenharia social com o uso de plataformas legítimas para enganar profissionais do setor de tecnologia e induzi-los a executar códigos maliciosos em seus próprios ambientes de trabalho.
CONTEÚDO RELACIONADO – Hackers usam domínios de governos estaduais para espalhar malware
O modelo de ataque simula processos seletivos reais. Os criminosos criam perfis falsos de empresas e recrutadores em redes como LinkedIn, além de manter repositórios no GitHub para hospedar códigos aparentemente legítimos. Durante as supostas entrevistas, candidatos são orientados a realizar testes técnicos que, na prática, funcionam como vetores de infecção.
Uma das técnicas utilizadas é conhecida como ClickFix. Nela, o candidato recebe instruções para executar comandos no próprio dispositivo sob o pretexto de corrigir erros em uma plataforma de avaliação. Esse processo leva à instalação do malware PyLangGhost, um trojan de acesso remoto capaz de executar comandos, exfiltrar dados e coletar credenciais, incluindo informações de carteiras de criptomoedas em navegadores.
Além disso, os atacantes exploram repositórios de código maliciosos disfarçados de projetos legítimos. Em alguns casos, desenvolvedores são induzidos a clonar esses repositórios e executar comandos como “npm install” e “npm start”, o que ativa a cadeia de infecção. Há também o uso de pacotes falsificados em ecossistemas como npm e manipulação de tarefas automatizadas em ambientes como Visual Studio Code para baixar e executar cargas maliciosas.
A infraestrutura da campanha é dinâmica e acompanha as iscas de engenharia social, com rápida criação e substituição de domínios e servidores. O grupo também adapta os payloads conforme o perfil da vítima e o ambiente comprometido, ampliando o alcance dos ataques.
Embora o roubo de criptomoedas seja um dos objetivos, a Sophos aponta que o acesso inicial pode ser explorado para comprometer cadeias de suprimentos de software ou realizar espionagem corporativa. O foco recorrente em desenvolvedores e profissionais de tecnologia, especialmente em áreas ligadas a finanças e Web3, amplia o risco para empresas.
A recomendação é monitorar a execução de comandos suspeitos, especialmente aqueles iniciados a partir de navegadores, além de observar atividades envolvendo ferramentas como PowerShell, curl e Node.js. Também é indicado reforçar políticas internas para validação de contatos de recrutamento e evitar a execução de códigos de origem desconhecida em ambientes corporativos.
Participe das comunidades IPNews no Instagram, Facebook, LinkedIn e X
