Grupo Konni da Coreia do Norte explora Google Find Hub e KakaoTalk para apagar telemóveis e espalhar malware na Coreia do Sul

Como agentes norte-coreanos viraram aplicativos de confiança contra sul-coreanos

Operadores cibernéticos apoiados pelo Estado norte-coreano levaram a cabo uma campanha coordenada que transformou ferramentas do dia a dia em vias de ataque, segundo peritos forenses na Coreia do Sul. O grupo, associado ao agrupamento Konni de atores alinhados com Pyongyang, roubou credenciais de contas Google, assumiu o controlo remoto de telemóveis e tablets Android através do serviço Find Hub da Google e, em seguida, sequestrou contas do KakaoTalk para distribuir malware através de redes de contactos reais. Os investigadores descrevem-no como o primeiro caso confirmado em que uma operação ligada à Coreia do Norte comprometeu contas Google para controlar remotamente dispositivos inteligentes utilizando funções de gestão incorporadas.

Analistas de segurança do Genians Security Center afirmam que os atacantes começaram por fazer-se passar por funcionários fiscais para instalar malware. Após um período de monitorização silenciosa, os intrusos iniciaram sessão em contas Google roubadas. Através do Find Hub, uma ferramenta de segurança para consumidores que permite aos proprietários localizar e proteger dispositivos perdidos, rastrearam a localização dos telemóveis e emitiram redefinições de fábrica remotas. As limpezas apagaram dados pessoais e suprimiram temporariamente os alertas, uma condição que ajudou a etapa seguinte a ter sucesso.

Sendo os alvos incapazes de receber chamadas e notificações, a operação passou para o cliente de desktop do KakaoTalk, que permanecia com sessão iniciada. Utilizando o nome da vítima e o histórico de conversas de confiança, os atacantes enviaram ficheiros maliciosos disfarçados de programas de alívio de stress para listas de contactos. A táctica permitiu que o malware se propagasse através da confiança social e atrasou a descoberta, uma vez que muitas vítimas estavam bloqueadas ou ocupadas a recuperar os telemóveis.

A Google afirmou que a atividade abusou de acesso válido a contas e de funcionalidades legítimas, e não de uma vulnerabilidade no Android ou no Find Hub. A empresa recomenda aos utilizadores que ative a verificação de dois passos ou chaves de passagem (passkeys) e, no caso de indivíduos de alto risco, que se inscrevam na Proteção Avançada.

O que aconteceu nos ataques

A operação desenrolou-se em etapas que combinaram iscas por email, roubo de contas, controlo de dispositivos na nuvem e abuso de mensageiros. É um exemplo de um atacante que se serve do próprio ambiente (living off the land), em que serviços incorporados e aplicativos de confiança se tornam ferramentas do atacante. Dois incidentes detalhados pelos investigadores, incluindo casos a 5 de setembro e a 15 de setembro, mostram como esta abordagem pode propagar malware rapidamente dentro de círculos pessoais e profissionais assim que uma única conta é comprometida.

Etapa 1: Spear phishing e compromissão inicial

A intrusão começou com mensagens direcionadas que se faziam passar pelo Serviço Nacional de Impostos da Coreia do Sul. As vítimas foram persuadidas a abrir anexos ou instaladores que aparentavam ser legítimos, incluindo ficheiros empacotados como instaladores MSI assinados. Nos bastidores, estes ficheiros lançavam scripts que estabeleciam persistência e descarregavam ferramentas de acesso remoto. Os analistas observaram famílias de malware que proporcionam controlo total de sistemas Windows, incluindo Lilith RAT, Remcos RAT, Quasar RAT e RftRAT, bem como carregadores baseados em AutoIt. O malware conduzia reconhecimento, recolhia credenciais armazenadas no browser e monitorizava atividade, preparando o ambiente para o roubo de contas.

Os alvos incluíam pessoas que trabalham com desertores norte-coreanos e defensores dos direitos humanos. Algumas iscas eram apresentadas como programas úteis para alívio de stress. Ao adaptar a mensagem ao papel e às preocupações do destinatário, os atacantes aumentaram a probabilidade de o ficheiro ser aberto, o que lhes deu então um ponto de entrada num computador pessoal.

Etapa 2: Sequestro de contas e uso indevido do Find Hub

Com o malware instalado, os operadores roubaram credenciais de contas de serviços como Google e Naver. Utilizando esses inícios de sessão Google roubados, acederam ao Find Hub. O serviço permite aos proprietários de dispositivos consultar a última localização conhecida de um telemóvel e emitir comandos como reproduzir um som ou redefinir um dispositivo para as definições de fábrica. Os intrusos utilizaram a consulta de localização para verificar que um alvo não estava a utilizar ativamente o telemóvel e, em seguida, acionaram a redefinição remota. Os investigadores também encontraram indícios de que, em alguns casos, os atacantes apagaram emails de alertas de segurança e esvaziaram as pastas de lixo das caixas de entrada para encobrir os rastros. Foram emitidos múltiplos comandos de redefinição para dificultar a recuperação e reduzir evidências no telemóvel.

Assim que um dispositivo era redefinido, o proprietário já não conseguia ver novas notificações, incluindo mensagens urgentes de contactos a perguntar sobre ficheiros estranhos. A limpeza também removeu indícios que poderiam ter exposto a intrusão, o que deu aos atacantes tempo para executar a etapa seguinte a partir de um dispositivo diferente, ainda com sessão iniciada nas contas da vítima.

Etapa 3: O KakaoTalk como megafone do malware

O KakaoTalk é quase universal na Coreia do Sul e muitos utilizadores mantêm uma sessão de desktop com início de sessão ativo. Após a redefinição no telemóvel, os atacantes migraram para o cliente KakaoTalk PC da vítima para distribuir ficheiros maliciosos com rapidez. As mensagens saíam sob o nome real e a fotografia de perfil da vítima, frequentemente com uma nota breve e um anexo. Os destinatários, que confiavam no remetente, abriam o ficheiro, que instalava malware e aumentava o número de máquinas comprometidas. Um caso envolveu mensagens enviadas a mais de 30 contactos em minutos. Outro envolveu uma distribuição ampla e simultânea a partir de uma conta comprometida diferente, dez dias depois.

Quem está por trás da campanha

A atividade é atribuída ao agrupamento Konni, uma rede de espionagem cibernética ligada à Coreia do Sul que sobrepõe-se com entidades amplamente monitorizadas como Kimsuky e APT37. Diferentes fornecedores de segurança utilizam nomes diferentes para os mesmos operadores ou operadores estreitamente aliados, incluindo Earth Imp, Opal Sleet, Osmium, TA406 e Vedalia. Estas equipas partilham infraestruturas e conjuntos de ferramentas ao longo de campanhas que visam órgãos governamentais sul-coreanos, educação, média, sociedade civil e comunidades de criptomoedas.

Os operadores norte-coreanos têm um histórico de ataques a dispositivos móveis. Por exemplo, os investigadores documentaram spyware para Android que se faz passar por utilitários ou aplicativos de segurança, com funcionalidades para gravar áudio, captar ecrãs e exfiltrar ficheiros. O que distingue a campanha atual é a forma como abusa da gestão de dispositivos baseada em contas para apagar telemóveis e, em seguida, migra imediatamente para uma sessão de mensageiro de desktop para se propagar ainda mais. A combinação aponta para uma coordenação madura em múltiplas plataformas, e não para uma única linhagem de malware a atuar isoladamente.

Porque o abuso do Find Hub é um ponto de viragem

Durante anos, grupos ligados à Coreia do Norte misturaram malware personalizado com credenciais roubadas e ferramentas legítimas. O abuso do Find Hub eleva as apostas porque transforma uma funcionalidade de segurança para consumidores num borrador remoto e num motor de distração. Uma redefinição neutraliza um telemóvel, apaga vestígios de dados de espionagem e silencia avisos fora de banda no momento em que estes mais importam. Isso cria uma abertura para utilizar uma sessão de desktop com início de sessão ativo para distribuição rápida.

A abordagem também complica a resposta a incidentes. Algumas telemetrias e evidências que residiriam no telemóvel desaparecem com uma redefinição. A atividade relevante está dividida entre o dispositivo, a conta na nuvem e o cliente de desktop. Os defensores têm de recolher dados de todos os três para reconstruir totalmente a sequência. Os analistas da Genians descreveram o método como um marco divisório para operações avançadas ligadas à Coreia do Norte.

Num relatório sobre o caso, o Genians Security Center escreveu:

Esta combinação de neutralização de dispositivos e propagação baseada em contas é sem precedentes entre os cenários APT patrocinados por Estados anteriormente conhecidos.

Consequências para as vítimas e o custo humano

Os intrusos não escolheram alvos ao acaso. Os investigadores dizem que umaconselheira psicológica que apoia estudantes desertores norte-coreanos teve o telemóvel redefinido a 5 de setembro. No espaço de um curto período, a conta KakaoTalk daconselheira foi utilizada para enviar um ficheiro rotulado como programa de alívio de stress a clientes. Quando vários destinatários o abriram, as suas máquinas foram infetadas. A escolha tanto do mensageiro como da mensagem apelou à confiança e à relevância para as vidas dos destinatários.

Dez dias depois, um ativista dos direitos humanos focado na Coreia do Norte teve uma experiência semelhante. O seu dispositivo Android foi redefinido remotamente através do Find Hub e, de seguida, a conta KakaoTalk do ativista enviou ficheiros maliciosos a 36 conhecidos. Em ambos os casos, os telemóveis das vítimas não puderam receber chamadas ou alertas durante as horas cruciais iniciais, o que atrasou os avisos de contactos que suspeitavam de algo anormal.

Para algumas vítimas, a limpeza removeu fotografias, documentos, contactos e trabalho produzido. Os investigadores encontraram também módulos de malware com capacidades de controlo de webcam e microfone em PCs infetados, levantando a preocupação de que as câmaras possam ter sido usadas para verificar se as vítimas estavam fisicamente presentes antes de serem emitidas as redefinições. As pessoas que trabalham com desertores e grupos da sociedade civil na Coreia do Sul já enfrentam riscos únicos. A campanha mostra como a vida digital quotidiana pode ser utilizada contra elas de formas que acarretam custos pessoais e profissionais.

Respostas de especialistas e de autoridades

A polícia sul-coreana abriu investigações sobre os dois incidentes de setembro. Os analistas afirmaram que o código e as técnicas correspondem a padrões anteriormente associados a grupos alinhados com a Coreia do Norte. Os investigadores aconselharam potenciais alvos, incluindoconselheiros e ativistas, a realizarem verificações minuciosas tanto nos ambientes de desktop como móveis quanto a compromissões de contas.

As equipas de segurança destacam que os atacantes não precisaram de uma falha de programação no Android ou no Find Hub. Precisaram de credenciais válidas e de acesso a aplicativos de confiança. Os investigadores recomendam que os prestadores de serviços acrescentem etapas de verificação em tempo real para ações sensíveis como redefinições remotas, e que os mensageiros forneçam avisos mais fortes ou atrasos quando um cliente de desktop tenta enviar ficheiros executáveis para muitos contactos num curto período.

Como proteger as suas contas Google e KakaoTalk

A campanha baseou-se em inícios de sessão roubados, sessões persistentes de desktop e funcionalidades em que os utilizadores normalmente confiam. Os passos seguintes reduzem o risco e dificultam o abuso de contas:

• Ative a verificação de dois passos para a sua conta Google. Prefira chaves de passagem (passkeys) ou uma chave de segurança. Pessoas de maior risco, como ativistas e jornalistas, devem inscrever-se no Programa de Proteção Avançada da Google.
• Abra as definições da Conta Google e execute a Verificação de Segurança. Remova dispositivos e sessões que não reconheça. Reveja o acesso de terceiros que não reconheça. Verifique o telemóvel e o email de recuperação.
• Verifique as definições do Find Hub ou Find My Device para consultar a lista de dispositivos associados à sua conta. Certifique-se de que reconhece cada dispositivo. Garanta que cada dispositivo está bloqueado com um PIN forte e que a redefinição remota exige a sua autenticação.
• Audite a segurança do seu email. Procure filtros suspeitos, regras de encaminhamento ou acesso delegado no Gmail. Por vezes, os atacantes adicionam regras que ocultam alertas.
• Evite guardar palavras-passe no browser em PCs partilhados ou não geridos. Utilize um gestor de palavras-passe de renome que se bloqueie com uma palavra-passe mestre ou uma chave de segurança.
• Mantenha o Android, Windows, macOS e KakaoTalk atualizados. Reveja as definições do KakaoTalk para ver que PCs têm sessão iniciada na sua conta e termine a sessão em qualquer um que não reconheça.
• Seja crítico relativamente a ficheiros ou instaladores de aplicativos não solicitados, mesmo de contactos em quem confia. Confirme ligando ao remetente por um canal separado antes de abrir qualquer ficheiro.
• Mantenha cópias de segurança offline para fotografias e documentos essenciais. Uma redefinição não toca numa cópia de segurança externa que se mantém desligada quando não está em utilização.
• Ative os alertas de início de sessão e leia-os cuidadosamente. Se receber um alerta suspeito, não clique em links no alerta. Em vez disso, aceda diretamente às definições da conta numa nova sessão do browser e reveje a atividade.

Passos imediatos caso ache que foi alvo

• A partir de um dispositivo limpo que controlo, altere as suas palavras-passe do Google e do KakaoTalk. De seguida, ative a verificação de dois passos ou chaves de passagem.
• Abra a Conta Google, reveja os eventos de segurança recentes e termine a sessão em todas as outras sessões. Reveja quaisquer tokens de aplicativos que não reconheça.
• No Gmail, remova filtros ou regras de encaminhamento estranhos. No KakaoTalk, force o termo de sessão em todos os PCs e reautorize apenas os que utiliza.
• Se o seu telemóvel foi redefinido, trate-o como um dispositivo novo. Antes de restaurar, altere as palavras-passe da sua conta e verifique a informação de recuperação. Restaure apenas a partir de cópias de segurança de confiança.
• Avisa os seus contactos de que as mensagens provenientes de si podem ter sido maliciosas. Peça-lhes que evitem abrir os ficheiros recebidos e que executem verificações de segurança.
• Preserve as evidências sempre que possível. Não apague o seu PC. Capture capturas de ecrã dos registos de atividade suspeitos e, em seguida, contacte a sua unidade local de crimes cibernéticos ou uma equipa de segurança de confiança.

O que as organizações devem fazer agora

As organizações com pessoal na Coreia do Sul, ou com ligações a trabalhos relacionados com a Coreia do Norte, devem assumir que são alvos atraentes. Um programa focado que combine segurança de identidade com monitorização de endpoints reduzirá o risco e acelerará a resposta.

• Exija autenticação multifator em todas as contas do Google Workspace e dos fornecedores de identidade. Adote métodos resistentes a phishing como chaves de passagem ou chaves de segurança físicas.
• Reforce os browsers e desative o autoguardar de palavras-passe em ambientes não geridos. Forneça um gestor de palavras-passe de nível empresarial ao pessoal.
• Implemente deteção e resposta em endpoints com regras baseadas em comportamento para lançadores AutoIt, abuso de scripts MSI e famílias RAT conhecidas, incluindo Lilith RAT, Remcos RAT, Quasar RAT e RftRAT.
• Bloqueie ou em quarentena anexos executáveis e instaladores MSI de remetentes externos, no gateway de email e mensageiro, sempre que possível.
• Monitorize os registos de auditoria na nuvem para ações suspeitas, incluindo atividade de redefinição remota e verificações repetidas de localização através de serviços de gestão de dispositivos associados a contas de utilizadores.
• Realize simulações de phishing regulares adaptadas a iscas locais, como avisos de agências fiscais. Forneça formação just-in-time ao pessoal que lida com trabalho sensível com desertores e ativistas.
• Estabeleça um manual de resposta rápida para sequestro de contas que abranja contas Google, clientes de desktop do KakaoTalk e redefinições de dispositivos móveis. Pratique o manual em exercícios de mesa (tabletop).
• Crie um canal para os contactos relatarem mensagens e ficheiros suspeitos que parecem provir do seu pessoal. Trate esses relatórios como prioridade alta.

Em resumo

• Os investigadores associam uma nova campanha contra sul-coreanos ao agrupamento Konni alinhado com a Coreia do Norte.
• Os atacantes roubaram credenciais Google, usaram o Find Hub para rastrear e redefinir dispositivos Android para as definições de fábrica e, em seguida, abusaram de sessões de desktop do KakaoTalk para distribuir malware a contactos.
• Os casos incluem umaconselheira de estudantes desertores norte-coreanos e um ativista dos direitos humanos, com mensagens de malware enviadas a mais de 30 contactos num incidente e a 36 noutro.
• A operação utilizou spear phishing que se fazia passar pelo Serviço Nacional de Impostos, instaladores MSI assinados, scripts AutoIt e ferramentas de acesso remoto, incluindo Lilith RAT, Remcos RAT, Quasar RAT e RftRAT.
• Os investigadores chamam-lhe o primeiro caso confirmado de um ator ligado à Coreia do Norte a utilizar contas Google comprometidas para emitir comandos remotos a dispositivos através do Find Hub.
• A Google afirma que a atividade abusou de funcionalidades legítimas de contas e de credenciais roubadas, e não de uma falha no Android ou no Find Hub, e recomenda o uso da verificação de dois passos ou chaves de passagem.
• A polícia na Coreia do Sul está a investigar e as equipas de segurança aconselham proteções de identidade mais fortes, reforço de dispositivos e verificação cuidadosa dos ficheiros recebidos através de mensageiros.
• Os utilizadores de alto risco devem inscrever-se na Proteção Avançada, auditar os dispositivos com sessão iniciada no Google e no KakaoTalk e manter cópias de segurança offline para limitar os danos causados por redefinições.