Agência Nacional de Polícia do Japão e FBI expõem grupo hacker norte-coreano que usa falsas ofertas de emprego para roubar criptoativos

Em 18 de setembro, a Agência Nacional de Polícia do Japão (NPA) e o Federal Bureau of Investigation (FBI), entre outros órgãos, divulgaram em conjunto detalhes sobre o grupo hacker norte-coreano WaterPlum, também conhecido como "Contagious Interview". Segundo as autoridades, a operação vem se passando há anos por recrutadores ou empresas de criptomoedas para induzir desenvolvedores a executar código malicioso sob o pretexto de testes de programação e colaboração em projetos. De dezembro de 2025 a julho de 2026, o grupo teria infectado mais de 30.000 dispositivos em mais de 100 países. As investigações apontam roubo de fundos ou credenciais de acesso de mais de 7.000 carteiras de criptomoedas, com perdas de pelo menos US$ 10,71 milhões em ativos digitais. Diferentemente de campanhas anteriores focadas em corretoras e grandes instituições, o WaterPlum ampliou o alvo para desenvolvedores individuais, freelancers e profissionais de Web3. As autoridades alertam que o impacto vai além do roubo direto de carteiras: com computadores e dados de identidade comprometidos, o grupo pode acessar sistemas das empresas das vítimas, abrindo caminho para furtos de segredos comerciais, extorsão e até o uso da identidade do profissional em novas candidaturas de emprego. "Vaga com alto salário" como porta de entrada O vetor mais comum não é e-mail de phishing, mas uma oportunidade de trabalho aparentemente legítima. Os atacantes se passam por empresas de IA, cripto ou NFT e abordam desenvolvedores por redes sociais, sites de vagas, plataformas de bicos e marketplaces de freelancers. Após o primeiro contato, costumam agendar entrevista por vídeo ou solicitar um teste técnico. A infecção ocorre na etapa de "avaliação técnica". O candidato recebe um repositório de código e é orientado a executar o projeto localmente, corrigir bugs ou até resolver supostos problemas de software de videoconferência. Os projetos parecem comuns (JavaScript, Python ou VS Code), mas contêm código malicioso embutido. O WaterPlum recorre com frequência a pacotes do NPM (gerenciador de pacotes do Node.js) contaminados, associados a diferentes famílias de malware, como BeaverTail, InvisibleFerret, OtterCookie, OtterCandy e StoatWaffle. Em alguns casos, o ataque explora o arquivo de configuração .vscode/tasks.json para executar código automaticamente quando o usuário abre e "confia" na pasta do VS Code. Para a vítima, tudo pode se resumir a baixar o projeto, abri-lo e rodar o programa conforme instruções do "entrevistador", enquanto o malware se instala em segundo plano. Após o acesso inicial, os invasores instalam trojans de acesso remoto para manter controle prolongado do dispositivo e programas ladrões de informação para coletar dados. Entre os principais alvos estão: - contas e senhas salvas no navegador; - conteúdo da área de transferência, registro de teclas e capturas de tela; - chaves privadas, frases de recuperação e dados relacionados a carteiras cripto; - arquivos do computador e pastas compartilhadas; - imagens de documentos, como carteira de motorista e passaporte. Essas informações são enviadas a um servidor controlado pelos atacantes. Mesmo sem saldo no momento, o comprometimento de chave privada ou frase mnemônica permite monitoramento de longo prazo e desvio de recursos assim que novos valores chegarem ao endereço. Comprometimento do dispositivo pode virar incidente corporativo O risco se amplia porque desenvolvedores geralmente têm acesso a repositórios de código, serviços em nuvem e sistemas internos. O WaterPlum pode explorar credenciais e permissões já existentes no equipamento para entrar em sistemas de empregadores, clientes ou parceiros, roubar informações confidenciais, se movimentar dentro da rede e usar dados sensíveis para extorsão. "Hubs" de trabalho remoto em residências no exterior A NPA e o FBI afirmam que documentos roubados (carteira de motorista, passaporte e outros) também alimentam outro esquema: seriam repassados a profissionais de TI norte-coreanos que se passam pelas vítimas para buscar vagas no exterior e gerar receita em moeda forte. As autoridades apontam sobreposição de pessoas e infraestrutura entre o WaterPlum (que distribui malware por falsas vagas) e esses profissionais (que se apresentam como desenvolvedores baseados fora da Coreia do Norte). Os órgãos concluem que integrantes do WaterPlum e determinados profissionais de TI norte-coreanos têm ligação com o Bureau 313 do Departamento da Indústria Militar, sob o Comitê Central do Partido dos Trabalhadores da Coreia. Para driblar checagens de identidade e localização, esses profissionais trabalham com intermediários no exterior que instalam computadores em residências locais, fornecem informações de identidade e recebem salários em seu nome. O trabalho, na prática, é realizado remotamente por pessoas na Coreia do Norte, na Rússia e em outras regiões. Esse arranjo cria "hubs" que mascaram a localização e a identidade reais do operador. Nesse modelo, o profissional acessa sistemas corporativos usando computadores e redes locais no Japão ou nos EUA, levando a empresa a acreditar que ele está fisicamente no país. Os intermediários também recebem equipamentos corporativos, fornecem documentos e contas bancárias e depois remetem os valores aos verdadeiros trabalhadores. Segundo a NPA, é a primeira vez que autoridades japonesas identificam uma estrutura desse tipo dentro do Japão. A investigação aponta que os envolvidos não apenas ajudaram a ocultar identidades e obter emprego, como também enviaram ao exterior dezenas de milhões de ienes, incluindo ativos em criptomoedas. O comunicado alerta que empresas ou indivíduos que contratem, façam pagamentos a profissionais de TI norte-coreanos ou os auxiliem com identidade, contas bancárias ou dispositivos de acesso remoto podem violar leis locais e descumprir sanções contra a Coreia do Norte. As autoridades citam riscos adicionais: um trabalhador de TI norte-coreano extorquiu o empregador após disputa salarial e divulgou publicamente código-fonte proprietário; em outro caso, um contratado para manutenção do site alterou o ambiente de forma maliciosa, deixando a página fora do ar. Currículo falsificado para vaga em exchange japonesa Empresas de criptomoedas estão entre os setores prioritários para esses profissionais. Em maio de 2025, uma exchange japonesa recebeu candidatura para uma vaga de engenharia de um candidato suspeito, que acessou o anúncio via VPN e enviou currículo falsificado. O documento parecia "perfeito": alegava domínio de diversas linguagens, tecnologias de blockchain, sistemas de criptomoedas e serviços de nuvem, com mais de dez competências e experiências relacionadas em cada categoria. O histórico pessoal mencionava estudos em universidades europeias e passagens profissionais por várias cidades da Europa e da Ásia em curto período. Na entrevista por vídeo, o candidato disse ter nascido na Malásia e morar na Finlândia, com malaio e chinês como línguas nativas. Ainda assim, a fluência em inglês não condizia com o histórico informado: respondeu apenas perguntas básicas e não conseguiu explicar em detalhe a maior parte das competências técnicas listadas. O aviso também resume sinais recorrentes observados em entrevistas com outros suspeitos: recusa a encontros presenciais, exigência de pagamento em criptomoedas, olhares frequentes para outra tela, vozes de terceiros ao fundo e travamentos constantes de áudio ou vídeo. O hábito de olhar para outra tela pode indicar leitura de respostas fornecidas por outra pessoa; mesmo com apenas um candidato no vídeo, várias pessoas podem estar colaborando nos bastidores para sustentar as alegações do currículo. Se houver infecção, apenas remover o malware pode não bastar As autoridades e instituições internacionais reforçam que eliminar o malware não garante que o dispositivo ou a carteira permaneçam seguros. Chaves privadas, frases-semente e credenciais do navegador podem já ter sido capturadas, com o invasor aguardando o momento ideal para agir. Também pode haver backdoor persistente. A recomendação é não executar diretamente código enviado por desconhecidos em máquinas que armazenem criptoativos ou lidem com dados sensíveis. Se o teste for inevitável, use sandbox ou máquina virtual isolada do ambiente diário e inspecione o projeto em busca de trechos ofuscados, ilegíveis ou que baixem conteúdo automaticamente. Atenção redobrada a scripts com comandos como curl, base64, mshta, InvokeWebRequest e similares, usados para baixar, codificar ou ocultar execução: não rode sem entender plenamente a finalidade. Se o antivírus indicar infecção, ou se você executou programas fornecidos por um suposto empregador suspeito, desconecte imediatamente o dispositivo da rede. Mesmo que o malware seja removido depois, trate a carteira como comprometida: crie uma nova carteira em um dispositivo separado e seguro, transfira todos os ativos e guarde a nova frase mnemônica offline. Como pode haver backdoors ainda desconhecidos, a medida mais segura é fazer backup do essencial e reinstalar completamente ou redefinir o sistema operacional, em vez de continuar usando o ambiente atual.