Grupo norte-coreano Konni explora o Google Find Hub e o KakaoTalk para apagar celulares e disseminar malware na Coreia do Sul

Como agentes norte-coreanos transformaram aplicativos confiáveis em armas contra sul-coreanos

Operadores cibernéticos ligados ao Estado norte-coreano conduziram uma campanha coordenada que transformou ferramentas do dia a dia em vetores de ataque, segundo investigadores forenses da Coreia do Sul. O grupo, ligado ao cluster Konni, de agentes alinhados a Pyongyang, roubou credenciais de contas do Google, assumiu remotamente o controle de celulares e tablets Android pelo serviço Find Hub do Google e, em seguida, sequestrou contas do KakaoTalk para disseminar malware por redes de contatos reais. Pesquisadores descrevem o caso como o primeiro confirmado em que uma operação ligada à Coreia do Norte comprometeu contas do Google para controlar dispositivos inteligentes remotamente por meio de funções de gerenciamento integradas.

Analistas de segurança do Genians Security Center afirmam que os invasores primeiro se passaram por funcionários fiscais para instalar malware. Após um período de monitoramento discreto, os invasores acessaram as contas do Google roubadas. Pelo Find Hub, uma ferramenta de segurança para consumidores que permite localizar e proteger dispositivos perdidos, rastrearam a localização dos celulares e emitiram comandos para restaurá-los às configurações de fábrica. A restauração apagou dados pessoais e silenciou temporariamente os alertas, condição que ajudou a etapa seguinte a dar certo.

Com os alvos impossibilitados de receber chamadas e notificações, a operação passou a usar o cliente para computador do KakaoTalk, que continuava conectado. Usando o nome das vítimas e o histórico de conversas confiáveis, os invasores enviaram arquivos maliciosos disfarçados de programas para aliviar o estresse a listas de contatos. A tática permitiu que o malware se espalhasse pela confiança entre as pessoas e atrasou sua descoberta, porque muitas vítimas não conseguiam acessar seus celulares ou estavam ocupadas tentando recuperá-los.

O Google afirmou que a atividade abusou do acesso válido às contas e de recursos legítimos, e não de uma vulnerabilidade no Android ou no Find Hub. A empresa recomenda que os usuários ativem a verificação em duas etapas ou usem chaves de acesso e, para pessoas sob alto risco, inscrevam-se na Proteção Avançada.

O que aconteceu nos ataques

A operação ocorreu em etapas que combinaram iscas por e-mail, roubo de contas, controle de dispositivos pela nuvem e abuso de aplicativos de mensagens. É um exemplo de como um invasor pode se valer de recursos já disponíveis, transformando serviços integrados e aplicativos confiáveis em ferramentas de ataque. Dois incidentes detalhados pelos investigadores, incluindo casos em 5 e 15 de setembro, mostram como essa abordagem pode disseminar malware rapidamente em círculos pessoais e profissionais após o comprometimento de uma única conta.

Etapa 1: phishing direcionado e comprometimento inicial

A invasão começou com mensagens direcionadas que imitavam o Serviço Nacional de Impostos da Coreia do Sul. As vítimas foram convencidas a abrir anexos ou instaladores aparentemente legítimos, incluindo arquivos empacotados como instaladores MSI assinados. Nos bastidores, esses arquivos executavam scripts que garantiam persistência e baixavam ferramentas de acesso remoto. Analistas observaram famílias de malware que dão controle total de sistemas Windows, incluindo Lilith RAT, Remcos RAT, Quasar RAT e RftRAT, além de carregadores baseados em AutoIt. O malware fazia reconhecimento, coletava credenciais armazenadas nos navegadores e monitorava a atividade, preparando o ambiente para o roubo de contas.

Entre os alvos estavam pessoas que trabalham com desertores norte-coreanos e defensores dos direitos humanos. Algumas iscas eram apresentadas como programas úteis para aliviar o estresse. Ao adaptar a mensagem à função e às preocupações do destinatário, os invasores aumentaram a probabilidade de que o arquivo fosse aberto, o que lhes garantiu acesso inicial a um computador pessoal.

Etapa 2: tomada de contas e abuso do Find Hub

Com o malware instalado, os operadores roubaram credenciais de serviços como Google e Naver. Usando os dados de acesso roubados do Google, entraram no Find Hub. O serviço permite que os donos consultem a última localização conhecida de um celular e enviem comandos, como reproduzir um som ou restaurar o dispositivo às configurações de fábrica. Os invasores usaram a consulta de localização para verificar se o alvo não estava usando o celular naquele momento e, então, acionaram a restauração remota. Os investigadores também encontraram indícios de que, em alguns casos, os invasores apagaram e-mails de alerta de segurança e esvaziaram as lixeiras das caixas de entrada para encobrir seus rastros. Foram emitidos vários comandos de restauração para dificultar a recuperação e reduzir as evidências no celular.

Depois que o dispositivo era restaurado, o dono não conseguia ver novas notificações, incluindo mensagens urgentes de contatos perguntando sobre arquivos estranhos. A restauração também removia indícios que poderiam revelar a invasão, dando tempo aos invasores para executar a etapa seguinte em outro dispositivo ainda conectado às contas da vítima.

Etapa 3: KakaoTalk como megafone para disseminar malware

O KakaoTalk é praticamente universal na Coreia do Sul, e muitos usuários mantêm uma sessão conectada no computador. Após a restauração do celular, os invasores migraram para o cliente do KakaoTalk para PC das vítimas e distribuíram arquivos maliciosos rapidamente. As mensagens eram enviadas com o nome verdadeiro e a foto de perfil da vítima, geralmente acompanhadas de uma breve nota e um anexo. Destinatários que confiavam no remetente abriam o arquivo, que instalava malware e aumentava o número de máquinas comprometidas. Em um caso, foram enviadas mensagens a mais de 30 contatos em poucos minutos. Em outro, dez dias depois, houve uma distribuição simultânea em larga escala a partir de outra conta comprometida.

Quem está por trás da campanha

A atividade é atribuída ao cluster Konni, uma rede de ciberespionagem ligada à Coreia do Norte que se sobrepõe a grupos amplamente conhecidos como Kimsuky e APT37. Diferentes empresas de segurança usam nomes distintos para os mesmos operadores ou para grupos estreitamente relacionados, incluindo Earth Imp, Opal Sleet, Osmium, TA406 e Vedalia. Essas equipes compartilham infraestrutura e ferramentas em campanhas que têm como alvo órgãos do governo sul-coreano, instituições de ensino, veículos de comunicação, organizações da sociedade civil e comunidades de criptomoedas.

Operadores norte-coreanos têm histórico de ataques a dispositivos móveis. Por exemplo, pesquisadores documentaram spyware para Android que se disfarça de utilitários ou aplicativos de segurança e tem recursos para gravar áudio, capturar telas e exfiltrar arquivos. O que diferencia a campanha atual é o abuso do gerenciamento de dispositivos baseado em contas para apagar celulares e, em seguida, a migração imediata para uma sessão de mensagens no computador para continuar a disseminação. Essa combinação aponta para uma coordenação avançada entre várias plataformas, e não para a ação isolada de um único tipo de malware.

Por que o abuso do Find Hub representa uma virada

Há anos, grupos ligados à Coreia do Norte combinam malware personalizado com credenciais roubadas e ferramentas legítimas. O abuso do Find Hub eleva o risco porque transforma um recurso de segurança para consumidores em uma ferramenta de apagamento remoto e distração. A restauração inutiliza um celular, apaga rastros de dados de espionagem e silencia alertas por outros canais justamente quando eles são mais importantes. Isso abre caminho para usar uma sessão conectada no computador para disseminar arquivos rapidamente.

A abordagem também complica a resposta a incidentes. Parte dos registros e das evidências que ficariam no celular desaparece com a restauração. A atividade relevante fica dividida entre o dispositivo, a conta na nuvem e o cliente para computador. Para reconstruir completamente a sequência, os responsáveis pela defesa precisam coletar dados dos três. Analistas da Genians descreveram o método como um marco nas operações avançadas ligadas à Coreia do Norte.

Em um relatório sobre o caso, o Genians Security Center escreveu:

Essa combinação de neutralização de dispositivos e disseminação por meio de contas não tem precedentes entre os cenários de APT patrocinados por Estados conhecidos até agora.

Consequências para as vítimas e impacto humano

Os invasores não escolheram alvos aleatoriamente. Segundo os investigadores, o celular de um conselheiro psicológico que apoia estudantes desertores norte-coreanos foi restaurado em 5 de setembro. Pouco depois, a conta do conselheiro no KakaoTalk foi usada para enviar a clientes um arquivo identificado como programa para aliviar o estresse. As máquinas de vários destinatários foram infectadas quando eles abriram o arquivo. A escolha tanto do aplicativo de mensagens quanto do conteúdo explorou a confiança e a relevância para a vida dos destinatários.

Dez dias depois, um ativista de direitos humanos que trabalha com questões relacionadas à Coreia do Norte passou por uma situação semelhante. Seu dispositivo Android foi restaurado remotamente pelo Find Hub e, em seguida, sua conta do KakaoTalk enviou arquivos maliciosos a 36 conhecidos. Nos dois casos, os celulares das vítimas não podiam receber chamadas nem alertas durante as primeiras horas cruciais, atrasando os avisos de contatos que desconfiaram que algo estava errado.

Para algumas vítimas, a restauração apagou fotos, documentos, contatos e materiais de trabalho. Os investigadores também encontraram módulos de malware com recursos para controlar webcams e microfones em PCs infectados, o que levantou a preocupação de que as câmeras possam ter sido usadas para verificar se as vítimas estavam fisicamente presentes antes da emissão dos comandos de restauração. Pessoas que trabalham com desertores e grupos da sociedade civil na Coreia do Sul já enfrentam riscos específicos. A campanha mostra como o cotidiano digital pode ser usado contra elas, com custos pessoais e profissionais.

Respostas de especialistas e autoridades

A polícia sul-coreana abriu investigações sobre os dois incidentes de setembro. Analistas afirmaram que o código e as técnicas correspondem a padrões anteriormente associados a grupos alinhados à Coreia do Norte. Os investigadores recomendaram que possíveis alvos, incluindo conselheiros e ativistas, façam verificações minuciosas em ambientes de computador e dispositivos móveis para identificar possíveis comprometimentos de contas.

Equipes de segurança destacam que os invasores não precisaram explorar uma falha de programação no Android nem no Find Hub. Precisaram de credenciais válidas e acesso a aplicativos confiáveis. Pesquisadores recomendam que os provedores de serviços adicionem etapas de verificação em tempo real para ações sensíveis, como restaurações remotas, e que aplicativos de mensagens exibam avisos mais claros ou imponham atrasos quando um cliente para computador tentar enviar arquivos executáveis a muitos contatos em pouco tempo.

Como proteger suas contas do Google e do KakaoTalk

A campanha se baseou em credenciais roubadas, sessões persistentes no computador e recursos que os usuários normalmente consideram confiáveis. As medidas a seguir reduzem o risco e dificultam o abuso de contas:

• Ative a verificação em duas etapas na sua conta do Google. Prefira chaves de acesso ou uma chave de segurança. Pessoas sob maior risco, como ativistas e jornalistas, devem aderir ao Programa de Proteção Avançada do Google.
• Acesse as configurações da Conta do Google e faça uma Verificação de segurança. Remova dispositivos e sessões desconhecidos. Revogue o acesso de terceiros que você não reconheça. Confira o telefone e o e-mail de recuperação.
• Confira no Find Hub ou no Encontre Meu Dispositivo a lista de aparelhos vinculados à sua conta. Verifique se reconhece todos. Certifique-se de que cada dispositivo está bloqueado com um PIN forte e que a restauração remota exige sua autenticação.
• Revise a segurança do seu e-mail. Procure filtros suspeitos, regras de encaminhamento ou acessos delegados no Gmail. Às vezes, os invasores adicionam regras para ocultar alertas.
• Evite salvar senhas no navegador de computadores compartilhados ou não gerenciados. Use um gerenciador de senhas confiável, protegido por uma senha mestra ou uma chave de segurança.
• Mantenha Android, Windows, macOS e KakaoTalk atualizados. Confira nas configurações do KakaoTalk quais computadores estão conectados à sua conta e encerre as sessões que não reconhecer.
• Desconfie de arquivos ou instaladores de aplicativos não solicitados, mesmo quando enviados por contatos em quem você confia. Confirme por telefone, em outro canal, antes de abrir qualquer arquivo.
• Mantenha cópias de segurança offline de fotos e documentos importantes. Uma restauração não afetará uma cópia externa que fique desconectada quando não estiver em uso.
• Ative os alertas de login e leia-os com atenção. Se receber um alerta suspeito, não clique nos links. Em vez disso, acesse diretamente as configurações da conta em uma nova sessão do navegador e confira a atividade.

O que fazer imediatamente se você acha que foi alvo

• Em um dispositivo confiável e limpo, altere as senhas do Google e do KakaoTalk. Em seguida, ative a verificação em duas etapas ou use chaves de acesso.
• Acesse a Conta do Google, confira os eventos de segurança recentes e encerre todas as outras sessões. Revogue tokens de aplicativos desconhecidos.
• No Gmail, remova filtros ou regras de encaminhamento suspeitos. No KakaoTalk, encerre à força as sessões em todos os computadores e autorize novamente apenas os que você usa.
• Se seu celular foi restaurado, trate-o como um dispositivo novo. Antes de restaurar os dados, altere as senhas das contas e verifique as informações de recuperação. Restaure apenas a partir de cópias de segurança confiáveis.
• Avise seus contatos de que mensagens enviadas por você podem ser maliciosas. Peça que não abram os arquivos recebidos e façam verificações de segurança.
• Preserve as evidências sempre que possível. Não apague seu PC. Faça capturas de tela dos registros de atividade suspeita e entre em contato com a unidade de crimes cibernéticos local ou com uma equipe de segurança confiável.

O que as organizações devem fazer agora

Organizações com funcionários na Coreia do Sul ou ligados a trabalhos relacionados à Coreia do Norte devem presumir que são alvos atraentes. Um programa direcionado que combine segurança de identidade com monitoramento de endpoints reduzirá o risco e agilizará a resposta.

• Exija autenticação multifator em todas as contas do Google Workspace e dos provedores de identidade. Adote métodos resistentes a phishing, como chaves de acesso ou chaves de segurança físicas.
• Reforce a segurança dos navegadores e desative o salvamento automático de senhas em ambientes não gerenciados. Ofereça aos funcionários um gerenciador de senhas de nível empresarial.
• Implemente detecção e resposta em endpoints com regras baseadas em comportamento para carregadores AutoIt, abuso de scripts MSI e famílias conhecidas de RAT, incluindo Lilith RAT, Remcos RAT, Quasar RAT e RftRAT.
• Bloqueie ou coloque em quarentena anexos executáveis e instaladores MSI enviados por remetentes externos, sempre que possível, nos gateways de e-mail e de mensagens.
• Monitore os registros de auditoria na nuvem em busca de ações suspeitas, incluindo restaurações remotas e consultas repetidas de localização por meio de serviços de gerenciamento de dispositivos vinculados a contas de usuários.
• Faça simulações regulares de phishing adaptadas a iscas locais, como avisos de órgãos fiscais. Ofereça treinamento no momento certo aos funcionários que lidam com atividades sensíveis envolvendo desertores e ativistas.
• Estabeleça um plano de resposta rápida para casos de tomada de contas que abranja contas do Google, clientes do KakaoTalk para computador e restaurações de dispositivos móveis. Pratique o plano em exercícios simulados.
• Crie um canal para que contatos denunciem mensagens e arquivos suspeitos que pareçam ter sido enviados por funcionários. Trate essas denúncias como prioridade.

Resumo

• Investigadores associam uma nova campanha contra sul-coreanos ao cluster Konni, alinhado à Coreia do Norte.
• Os invasores roubaram credenciais do Google, usaram o Find Hub para rastrear e restaurar dispositivos Android às configurações de fábrica e, em seguida, abusaram de sessões do KakaoTalk para computador para disseminar malware entre contatos.
• Entre os casos estão os de um conselheiro de estudantes desertores norte-coreanos e de um ativista de direitos humanos. Em um incidente, mensagens com malware foram enviadas a mais de 30 contatos; em outro, a 36.
• A operação usou phishing direcionado que imitava o Serviço Nacional de Impostos, instaladores MSI assinados, scripts AutoIt e ferramentas de acesso remoto, incluindo Lilith RAT, Remcos RAT, Quasar RAT e RftRAT.
• Pesquisadores consideram este o primeiro caso confirmado de um agente ligado à Coreia do Norte usando contas do Google comprometidas para enviar comandos remotos a dispositivos pelo Find Hub.
• O Google afirma que a atividade abusou de recursos legítimos das contas e de credenciais roubadas, e não de uma falha no Android ou no Find Hub. A empresa recomenda o uso da verificação em duas etapas ou de chaves de acesso.
• A polícia sul-coreana está investigando, e equipes de segurança recomendam proteções de identidade mais robustas, reforço da segurança dos dispositivos e verificação cuidadosa dos arquivos recebidos por aplicativos de mensagens.
• Usuários sob alto risco devem aderir à Proteção Avançada, revisar os dispositivos conectados às contas do Google e do KakaoTalk e manter cópias de segurança offline para limitar os danos de restaurações.