O malware de vagas falsas da Coreia do Norte: quatro motivos para meu antivírus ficar calado

Em resumo: fui atingido duas vezes por vagas falsas no Upwork, e meu antivírus não disse nada em nenhuma delas. As fontes dão quatro motivos para ele não ter tido do que reclamar: eu mesmo rodei o código, então as verificações do Mac saíram da frente; ele usou ferramentas confiáveis como node, curl e bash; as variantes eram novas, então as assinaturas vieram depois; e uma sessão de login roubada pode passar pelo 2FA. A correção que as fontes indicam: tratar toda instalação como código, desconfiar de quem pede para você rodar um comando no terminal e verificar o que o código faz antes de ele rodar pela primeira vez.

Calado, duas vezes

Esta é a minha própria história; contei os dois episódios em Duas vagas falsas no Upwork, um Mac infectado. O que mais me incomodou: "neither macOS's built-in XProtect nor traditional antivirus made a sound, either time" (nem o XProtect, que já vem no macOS, nem os antivírus tradicionais deram um pio, nas duas vezes).

Isso não é o mesmo que dizer que antivírus não serve para nada. As fontes abaixo dizem que ele fica para trás e é contornado, não que é inútil.

1. Eu mesmo rodei

A Microsoft Threat Intelligence descreve uma campanha para macOS do agente norte-coreano Sapphire Sleet "that relies on social engineering rather than software vulnerabilities" (que se apoia em engenharia social, e não em vulnerabilidades de software).

Nas palavras da Microsoft: "By persuading users to manually execute AppleScript or Terminal‑based commands, Sapphire Sleet shifts execution into a user‑initiated context, allowing the activity to proceed outside of macOS protections such as Transparency, Consent, and Control (TCC), Gatekeeper, quarantine enforcement, and notarization checks." (Ao convencer os usuários a executar manualmente comandos de AppleScript ou do Terminal, o Sapphire Sleet leva a execução para um contexto iniciado pelo próprio usuário, o que permite que a atividade siga fora de proteções do macOS como Transparency, Consent, and Control (TCC), Gatekeeper, a aplicação da quarentena e as verificações de notarização.)

2. Ferramentas confiáveis

A Microsoft de novo: "This activity demonstrates how threat actors continue to rely on user interaction and trusted system utilities to bypass macOS platform security protections, rather than exploiting traditional software vulnerabilities." (Essa atividade mostra como os agentes de ameaça continuam a contar com a interação do usuário e com utilitários confiáveis do sistema para contornar as proteções de segurança da plataforma macOS, em vez de explorar vulnerabilidades de software tradicionais.)

Isso bate com o que eu vi: "These attacks come in new packaging every time and use the most ordinary tools there are, like node, curl and bash, so traditional antivirus has no reason to find them suspicious." (Esses ataques vêm com uma embalagem nova a cada vez e usam as ferramentas mais comuns que existem, como node, curl e bash, então o antivírus tradicional não tem motivo para desconfiar.)

3. Novo, então sem assinatura

As assinaturas chegam, sim, quando uma campanha fica conhecida: a Microsoft observa que "Apple has also deployed XProtect signatures to detect and block the malware families associated with this campaign—macOS devices receive these signature updates automatically" (a Apple também lançou assinaturas do XProtect para detectar e bloquear as famílias de malware ligadas a essa campanha; os dispositivos macOS recebem essas atualizações de assinatura automaticamente).

Mas variantes novas podem passar despercebidas quando são descobertas. A SentinelOne, no início de 2025, relatou "newly discovered samples that we have labelled 'FlexibleFerret' and which remain undetected by XProtect at the time of writing" (amostras recém-descobertas que chamamos de "FlexibleFerret" e que continuam sem ser detectadas pelo XProtect no momento em que escrevemos).

Derrubar pacotes também não acaba com isso. Socket: "Since our July 14, 2025 update, we have identified and analyzed more than 338 malicious packages with over 50,000 cumulative downloads." (Desde a nossa atualização de 14 de julho de 2025, identificamos e analisamos mais de 338 pacotes maliciosos com mais de 50.000 downloads acumulados.) E: "We continue to see weekly upload bursts, rapid re-uploads after takedowns, and iterative changes to loaders and postinstall scripts." (Continuamos vendo rajadas semanais de uploads, reenvios rápidos depois das remoções e mudanças sucessivas em loaders e scripts de postinstall.)

4. Uma sessão roubada passa por cima do 2FA

A Microsoft, escrevendo sobre phishing em 2022: "Once the attacker obtains the session cookie, they can inject it into their browser to skip the authentication process, even if the target's MFA is enabled." (Quando o atacante obtém o cookie de sessão, pode injetá-lo no próprio navegador para pular o processo de autenticação, mesmo que o alvo tenha MFA ativado.)

Na Bybit, segundo o FBI, "North Korea was responsible for the theft of approximately $1.5 billion USD in virtual assets from cryptocurrency exchange, Bybit" (a Coreia do Norte foi responsável pelo roubo de cerca de US$ 1,5 bilhão em ativos virtuais da corretora de criptomoedas Bybit). A Safe{Wallet}, citada pelo The Hacker News: "The attack involved the compromise of a Safe{Wallet} developer's laptop ('Developer1') and the hijacking of AWS session tokens to bypass multi-factor authentication ('MFA') controls." (O ataque envolveu o comprometimento do notebook de um desenvolvedor da Safe{Wallet} ("Developer1") e o sequestro de tokens de sessão da AWS para contornar os controles de autenticação multifator ("MFA").)

Até especialistas caem

O FBI: "Given the scale and persistence of this malicious activity, even those well versed in cybersecurity practices can be vulnerable to North Korea's determination to compromise networks connected to cryptocurrency assets." (Dada a escala e a persistência dessa atividade maliciosa, até quem conhece bem as práticas de cibersegurança pode ficar vulnerável à determinação da Coreia do Norte de comprometer redes ligadas a criptoativos.)

A correção

1. Verifique o que o código faz antes de ele rodar pela primeira vez, não como ele se chama. É a lição que tirei dos dois episódios.
2. Toda instalação é código. Socket: "Treat every npm install as code execution and block risky behavior before it reaches developer machines or pipelines." (Trate todo npm install como execução de código e bloqueie comportamentos de risco antes que cheguem às máquinas dos desenvolvedores ou aos pipelines.)
3. Nunca cole o comando de um estranho. A Microsoft recomenda: "Educate users about social engineering threats originating from social media and external platforms, particularly unsolicited outreach requesting software downloads, virtual meeting tool installations, or execution of terminal commands." (Eduque os usuários sobre ameaças de engenharia social vindas de redes sociais e plataformas externas, principalmente contatos não solicitados que pedem downloads de software, instalação de ferramentas de reunião virtual ou execução de comandos no terminal.)

Depois dos meus dois episódios, criei o Tsuba, um app gratuito para Mac com uma ideia só: "before unfamiliar code runs for the first time, it takes a look for you" (antes de um código desconhecido rodar pela primeira vez, ele dá uma olhada por você).

Fontes

• Oliver Zhang, Duas vagas falsas no Upwork, um Mac infectado, 28 de outubro de 2026
• Microsoft Threat Intelligence, Dissecting Sapphire Sleet's macOS intrusion from lure to compromise, 16 de abril de 2026
• SentinelOne, macOS FlexibleFerret: Further Variants of DPRK Malware Family Unearthed, atualizado em 2 de setembro de 2025
• Socket, North Korea's Contagious Interview Campaign Escalates: 338 Malicious npm Packages, 50,000 Downloads, 10 de outubro de 2025
• Microsoft, From cookie theft to BEC: Attackers use AiTM phishing sites as entry point to further financial fraud, 12 de julho de 2022
• The Hacker News, Safe{Wallet} Confirms North Korean TraderTraitor Hackers Stole $1.5 Billion in Bybit Heist, 7 de março de 2025
• FBI, PSA 250226 (Bybit), 26 de fevereiro de 2025
• FBI, PSA 240903: North Korea Aggressively Targeting Crypto Industry with Well-Disguised Social Engineering Attacks, 3 de setembro de 2024

O vídeo é animado com código, e o roteiro foi escrito com ajuda de IA; cada citação acima foi conferida com as fontes. Ilustrativo: o escudo de "nenhuma ameaça", os portões se abrindo para o lado, o scanner e seu raio X, a linha do tempo das assinaturas e o cookie de sessão. Este post explica o risco e a correção, não como o malware funciona. O vídeo está em inglês. Feito com o Shotloop, meu app gratuito para Mac de explicativos feitos com código, corrigidos uma cena de cada vez.