Startup falsa conecta equipe de TI norte-coreana por longas semanas
Os especialistas em cibersegurança Mauro Eldritch e Heiner García executaram uma operação de cinco semanas criando a falsa startup de criptomoedas "Ballena Azul", comunicando-se via Zoom com indivíduos suspeitos de serem engenheiros de TI da Coreia do Norte. A interação, mascarada como uma busca por investimento, permitiu monitorar e analisar os participantes sem que percebessem o real propósito. A autenticidade da farsa foi reforçada pela utilização de uma empresa britânica registrada com o mesmo nome. Eldritch adotou o pseudônimo de cofundador "Leonardo Nelson", enquanto García atuou como chefe de equipe "Andy Jones".
Infraestrutura e tecnologia reveladas na investigação
Foram identificados diversos servidores essenciais que funcionavam como pontos intermediários entre os agentes e os desktops virtuais controlados pela falsa empresa. Alguns desses servidores já haviam sido associados a atividades maliciosas anteriores ligadas à Coreia do Norte, incluindo malwares como InvisibleFerret e BeaverTail/OtterCookie. Outros servidores encontrados não constavam em listas de ameaças conhecidas, indicando a instalação de infraestrutura nova e desconhecida pelo grupo.
Além de distribuírem malwares, essas máquinas também desempenhavam funções de comando, controle e proxy. Segundo os analistas, os integrantes desse time de TI não precisam emitir códigos maliciosos diretamente para representar risco, pois o acesso legítimo a sistemas internos e código-fonte de empresas-alvo permite uma permanência prolongada, remunerada, que auxilia no financiamento do regime norte-coreano.
Uso intensivo de inteligência artificial como suporte
Os relatos apontam para a ampla utilização de ferramentas de inteligência artificial para facilitar tarefas técnicas. O suspeito grupo utilizou o ChatGPT para escrever códigos e solucionar dúvidas, enquanto o Google Gemini foi empregado para editar imagens e falsificar documentos. Além das tecnologias IA, o grupo também fazia uso de softwares de acesso remoto, carteiras criptográficas e sistemas de compartilhamento de códigos de verificação multifator.
Estratégias de recrutamento e controle operacional
A entrada dos desenvolvedores remotos iniciou-se por meio de um contato com um recrutador ligado ao grupo de ameaças "Famous Chollima" no GitHub. Foram integrados programadores como "Jack Anderson", "Angelo Espree" e "Lucas Theo", que receberam tarefas via desktops virtuais monitorados. Simulações de falhas de rede foram aplicadas para analisar reações, gerando dados como logs de chats, nós de saída VPN e gravações ao vivo que embasam o estudo.
Incidentes semelhantes envolvendo equipes remotas norte-coreanas têm sido descobertos com frequência. Em 2025, a Justiça dos EUA acusou quatro cidadãos norte-coreanos de roubo de criptomoedas superior a 90 mil dólares com identidades falsas e destacaram que a verba alimentava os programas nucleares e de armas de destruição em massa do país.
Desmoronamento da farsa e encerramento da operação
Na etapa final, "Benito Camella", personagem que encarnava um cofundador falso, interrogou os desenvolvedores sobre discrepâncias nos documentos e identidades. Espree abandonou a conferência primeiro, seguido por Anderson, que percebeu se tratar de uma armadilha e encerrou sua participação. No canal Telegram da empresa fictícia houve uma discórdia pública entre o "CEO" e "Andy Jones", que acabou com o desligamento da equipe e o fim da colaboração. A falsa startup desmoronou devido a erros na contratação.
Após o término, um suspeito norte-coreano teria enviado pedido de desculpas em privado a García, porém outros participantes não retornaram contato. A equipe de pesquisa destacou que até o momento, os envolvidos desconheciam que estavam sendo monitorados.
Revelações sobre risco interno em plataformas cripto e necessidade de vigilância
Essa operação de recrutamento falsa e prolongada trouxe pela primeira vez a exposição detalhada dos métodos, capacidades técnicas e infraestrutura empregadas por times de TI norte-coreanos atuando remotamente. O estudo reforça que, embora esses profissionais não executem diretamente ataques, seu nível de acesso em plataformas blockchain e cripto pode representar um risco significativo para segurança. Recomenda-se atenção contínua de reguladores e do setor para identificar e mitigar técnicas emergentes usadas nessas equipes à distância.