BlueNoroff : um kit Zoom adaptado para criptomoedas, com deepfake de vídeo por IA em tempo real

O grupo norte-coreano BlueNoroff (Lazarus) opera desde maio de 2026 um kit de phishing do Zoom/Teams que compromete contas legítimas do Telegram, convida as vítimas para uma falsa reunião, captura a webcam, sobrepõe um deepfake de IA (ChatGPT), analisa as carteiras de criptomoedas instaladas e, por fim, distribui um malware via ClickFix. Cinco versões do kit foram documentadas pela JUMPSEC.

Os fatos

Publicação JUMPSEC em 24 de julho de 2026: o grupo BlueNoroff — subgrupo do Lazarus, atribuído à Coreia do Norte e especializado há muito tempo no roubo de ativos digitais — opera desde pelo menos maio de 2026 um kit de phishing direcionado para Zoom/Teams, com pelo menos cinco versões documentadas entre 31 de maio e 14 de julho de 2026.

Alvos: perfis altos da indústria cripto — investidores de capital de risco, fundadores, executivos de grandes empresas Web3. O kit analisa as carteiras (wallets) da vítima antes de injetar o malware, permitindo um alvo seletivo das “vítimas de alto valor” que gerenciam seus próprios fundos ou assinam transferências.

Análise — a cadeia de ataque

Ela merece ser detalhada passo a passo porque combina várias técnicas modernas (comprometimento de conta de e-mail, deepfake de vídeo, ClickFix) que até agora eram vistas separadamente.

1. Vetor inicial: contas do Telegram comprometidas. O BlueNoroff envia um link do Calendly a partir da conta de um contato real da indústria cripto que a vítima conhece. Confiança herdada, sem alerta.
2. Reunião armadilha. O link leva a um domínio typosquatted, imitando Zoom ou Teams — exemplo documentado: us.zoom.06webin.us.
3. Captura da webcam. O site pede acesso à câmera. A vítima aceita. O fluxo de vídeo é exfiltrado silenciosamente para o painel do operador via mediasoup WebRTC.
4. Deepfake de vídeo em overlay. O operador exibe para a vítima uma falsa cabeça gerada por IA — as imagens são produzidas com ChatGPT (OpenAI) — sobreposta aos movimentos do corpo de uma vítima anterior autenticada. O humano do outro lado vê o que acredita ser seu interlocutor legítimo em vídeo.
5. Perfilamento da carteira. O kit executa um browser fingerprint que lista as extensões de carteira cripto instaladas (MetaMask, Phantom, Coinbase Wallet, etc.). Essa etapa condiciona o resto: sem carteira de valor, a campanha é interrompida.
6. Payload ClickFix. O operador dispara um falso pop-up de atualização — a técnica ClickFix que empurra o usuário a copiar-colar um comando no terminal ou no Run do Windows — e o malware é executado.

Payloads observados

Windows:

• Loader PowerShell que desativa o Microsoft Defender.
• Implantes VBScript que roubam os cookies de sessão do Telegram e os IDs de extensões de carteira para permitir que o operador replique a sessão do Telegram (e, assim, comprometa os contatos da vítima, fechando o ciclo do kit).

macOS:

• Falsos instaladores do Teams / Zoom.
• Exfiltração das chaves mestras do Chrome (necessárias para descriptografar as credenciais do Chrome, incluindo logins de exchanges) via o canal do Telegram « Aurora » controlado pelo operador.

IOCs para monitorar

• Bot do Telegram do operador identificado pela JUMPSEC: @alchemy_john_mac (nome de usuário « John »).
• Domínios typosquatted do Zoom/Teams em .us (padrão observado: us.zoom.<mot>.us).
• Tráfego WebRTC (mediasoup) saindo para IPs desconhecidas durante videochamadas não padrão.
• Sessões do Telegram novas a partir de um IP geograficamente incoerente com o usuário.

Quem é impactado

• Qualquer pessoa que opere uma carteira cripto de valor (VCs, fundadores, operadores de exchange, custodians).
• Por extensão: seus círculos profissionais, cujas contas do Telegram comprometidas servirão de vetor upstream.

Não é uma ameaça de phishing em massa para o público geral: é um spear-phishing direcionado de alto valor, com ROI muito elevado para o operador.

O que fazer agora

1. Nunca valide uma reunião cripto com base apenas no link do Calendly no Telegram — mesmo enviado por um contato conhecido. Verifique em um canal out-of-band (telefone, Signal verificado).
2. URL da videochamada: verifique letra por letra o domínio. Um Zoom legítimo é zoom.us ou <subdomínio>.zoom.us, nunca zoom.<outro-tld>.
3. Separe o computador que acessa suas carteiras cripto do computador usado para videochamadas. Carteiras em máquina dedicada ou hardware wallet.
4. Sessões do Telegram: revogue regularmente as sessões ativas (Configurações → Dispositivos) e ative a senha local.
5. Hunt IOCs: em seus EDRs, busque por implantes VBScript que façam hooks no Telegram e por qualquer desativação programática do Defender via PowerShell.
6. Conscientização sobre ClickFix: treine suas equipes — copiar-colar um comando do navegador no terminal é a ação que nunca deve ser feita, mesmo “só para terminar uma instalação”.

O que fazer agora — o essencial

Verificação out-of-band de toda reunião cripto iniciada via Telegram + computador dedicado para carteiras + revogação de sessões do Telegram. O kit está ativo, versionado e industrializado.