BlueNoroff Usa ClickFix, PowerShell Sem Arquivo, e Reuniões Falsas do Zoom Geradas por IA para Almejar o Setor Web3

Resumo

BlueNoroff, um subgrupo financeiramente motivado do Lazarus Group, vinculado à RPDC, realizou uma intrusão direcionada contra uma empresa norte-americana de Web3 e criptomoedas. Os atacantes combinaram técnicas de ClickFix, execução de PowerShell sem arquivo e convites falsos para reuniões Zoom gerados por IA para garantir acesso inicial e expandir seu alcance dentro do ambiente. A operação destaca uma mistura madura de engenharia social e táticas de living-off-the-land projetadas para apoiar o roubo de criptomoedas.

Investigação

Analistas da Arctic Wolf detectaram a intrusão após identificar atividade incomum do PowerShell e links maliciosos para reuniões do Zoom aprimorados com conteúdo gerado por IA. Evidências adicionais apontaram para métodos de entrega ClickFix e execução sem arquivo, indicando uma clara tentativa de evadir as defesas antivírus convencionais. A atribuição ao BlueNoroff baseou-se nas ferramentas observadas, no comportamento operacional e nos padrões de ofício há muito associados à atividade do Lazarus Group.

Mitigação

As organizações devem exigir autenticação multifator para o Zoom e outras plataformas de conferência, limitar o uso desnecessário de acesso remoto do PowerShell e monitorar de perto por binários suspeitos relacionados ao ClickFix. Os controles de segurança de e-mail também devem ser fortalecidos para capturar iscas de phishing geradas por IA, enquanto os usuários devem ser treinados para verificar convites para reuniões inesperados antes de interagir com eles.

Resposta

Se essa atividade for detectada, isole os endpoints afetados imediatamente, capture a memória volátil e conduza uma análise forense dos logs do PowerShell e de quaisquer artefatos relacionados ao ClickFix. Credenciais comprometidas devem ser revogadas, segredos sensíveis rotacionados e procedimentos de resposta a incidentes para possível roubo de criptomoedas ativados. Indicadores relevantes também devem ser compartilhados com ISACs da indústria, e as detecções devem ser atualizadas para refletir as últimas descobertas.