Falsas entrevistas de emprego ligadas à Coreia do Norte já infectaram 30 mil dispositivos e roubaram US$ 10,7 milhões
Um alerta conjunto de agências de polícia e inteligência do Japão, EUA, Austrália e Alemanha expôs a campanha Contagious Interview (grupo WaterPlum), que usa falsas entrevistas de emprego para instalar malware em desenvolvedores. A operação já infectou mais de 30 mil dispositivos em mais de 100 países, comprometeu cerca de 7 mil carteiras de criptomoedas e resultou em US$ 10,71 milhões desviados para a Coreia do Norte.
Em 18 de setembro, a Agência Nacional de Polícia do Japão, o FBI, o Departamento de Defesa dos EUA e agências de inteligência da Austrália e da Alemanha publicaram um alerta conjunto sobre o WaterPlum, grupo ligado à Coreia do Norte também conhecido pela campanha Contagious Interview. Segundo o relatório, a operação já infectou mais de 30 mil dispositivos em mais de 100 países e desviou aproximadamente US$ 10,71 milhões (1,7 bilhão de ienes) em criptoativos.
O golpe funciona como uma falsa entrevista de emprego: atacantes se passam por recrutadores de empresas de IA, criptomoedas e NFTs em redes sociais e portais de vagas, conduzem "entrevistas técnicas" com o candidato e pedem que ele baixe um teste de código ou uma ferramenta específica de videochamada para prosseguir no processo. O arquivo baixado instala uma cadeia de malwares -- BeaverTail, InvisibleFerret, OtterCookie, OtterCandy e StoatWaffle -- que juntos roubam credenciais salvas no navegador, abrem backdoors, executam funções de RAT e varrem extensões de carteiras cripto instaladas para drenar os fundos.
O alvo primário são desenvolvedores freelancers e especialistas em blockchain/Web3, mas uma infecção bem-sucedida também abre porta para comprometer as empresas que os contratam, permitindo espionagem corporativa, roubo de propriedade intelectual e movimentação lateral dentro de redes empresariais. Ou seja, o golpe ao consumidor (falsa vaga de emprego) funciona simultaneamente como vetor de invasão B2B.
Os sinais de alerta descritos no relatório incluem entrevistador lendo roteiro, vozes de fundo suspeitas, câmera travando repetidamente, pedidos de pagamento ou de dados de carteira cripto como parte do processo seletivo, e insistência para baixar arquivos fora de plataformas confiáveis. A recomendação prática é nunca executar testes técnicos de "recrutadores" em máquinas com carteiras cripto ou credenciais sensíveis salvas -- usar uma máquina virtual isolada ou sandbox -- e verificar de forma independente a existência e idoneidade da empresa contratante antes de prosseguir no processo.