Agentes maliciosos supostamente da Coreia do Norte estão conduzindo ataques direcionados a empresas do setor de criptomoedas e Web3, utilizando atualizações falsas do Zoom para distribuir um sofisticado malware compilado em Nim para macOS. A descoberta foi feita pela equipe de segurança da SentinelOne, que detalhou a campanha em um relatório técnico.
Engenharia social sofisticada e uso de plataformas legítimas
Os ataques seguem um padrão atribuído ao grupo APT BlueNoroff, associado a operações cibernéticas de Pyongyang. Os invasores se fazem passar por contatos confiáveis das vítimas e iniciam a interação via Telegram, convidando-as a marcar reuniões por meio da popular plataforma Calendly.
A vítima, então, recebe um e-mail com um link para uma suposta reunião no Zoom e instruções para executar um script malicioso que se apresenta como uma atualização do SDK do Zoom. A execução do script inicia uma cadeia de infecção em múltiplas etapas, culminando na instalação de binários maliciosos rastreados coletivamente como NimDoor.
Técnicas inéditas e uso criativo de linguagens
A análise dos ataques revelou o uso inovador da linguagem Nim, conhecida por combinar conceitos de linguagens como Python, Ada e Modula. Os binários compilados em Nim empregam funcionalidades incomuns, como manipulação de configurações criptografadas, execução assíncrona baseada no runtime nativo da linguagem e persistência baseada em sinais do sistema operacional – uma técnica até então inédita em malwares para macOS.
Além disso, o ataque faz uso extensivo de AppleScripts para acesso inicial e ações pós-comprometimento, incluindo comunicação com o servidor de comando e controle e criação de backdoors. Scripts Bash são usados para extrair dados do Keychain, navegadores e do Telegram.
Arquitetura modular e binários disfarçados
Segundo a SentinelOne, os agentes maliciosos utilizaram dois binários Mach-O distintos para iniciar cadeias de execução independentes. Um deles, escrito em C++, é responsável por acionar scripts Bash voltados à extração de dados. O outro, compilado a partir de código-fonte em Nim, estabelece mecanismos de persistência e implanta dois binários adicionais: “GoogIe LLC” (com uso de typo spoofing, trocando o “l” minúsculo por “i” maiúsculo) e “CoreKitAgent”.O GoogIe LLC é usado para configurar o ambiente e executar o CoreKitAgent, um binário complexo em Nim que funciona como uma aplicação orientada a eventos utilizando o mecanismo kqueue do macOS. Juntos, esses componentes mantêm o acesso persistente e implementam mecanismos de recuperação que interceptam sinais de encerramento (como SIGINT e SIGTERM) para reinstalar os módulos principais.
Para saber mais, clique aqui.