O próprio erro do hacker abriu a porta

Durante 22 meses, Vangelis Stykas observou por dentro uma equipa de hackers estatais norte-coreanos, não por ter invadido os seus sistemas, mas porque o próprio malware do grupo infetou primeiro os seus próprios postos de trabalho. Stykas, diretor de tecnologia da empresa de cibersegurança Kumio, explicou na conferência Black Hat, em Las Vegas, no início de agosto de 2026, que os operadores se tinham infetado a si próprios, abrindo-lhe uma janela para os seus canais internos de Slack e Discord.

Esse acesso acidental deu-lhe uma visão silenciosa de cerca de 5 terabytes de dados que o grupo tinha roubado às suas próprias vítimas, além de um olhar raro sobre o funcionamento diário da operação, sem ser detetado pelos próprios hackers em nenhum momento.

1640 empresas, 57 países, uma dúzia de nomes

Stykas afirmou que o grupo tinha comprometido 1640 empresas em 57 países durante o período em que teve acesso. Entre 700 e 800 dessas intrusões foram classificadas por ele como graves, ou seja, os atacantes tinham alcançado acesso root a servidores, ambientes de nuvem AWS ou carteiras de criptomoedas, muito além de um simples ponto de apoio numa única máquina.

Na sua apresentação, Stykas nomeou publicamente cerca de uma dúzia das organizações afetadas, incluindo o fabricante de smartphones Oppo, a Coinbase, a Uniswap Labs, o Boston Children's Hospital e várias agências governamentais que não identificou pelo nome.

A entrada foi uma entrevista de emprego

À parte da investigação de Stykas, equipas de segurança da Elastic Security Labs, da Proofpoint e de outras empresas têm seguido, ao longo de 2026, uma campanha norte-coreana ativa conhecida como Contagious Interview, ligada ao Lazarus Group. Os operadores fazem-se passar por recrutadores em plataformas como o LinkedIn, abordam programadores de software com o que parece uma oferta de emprego genuína e enviam depois um teste de programação alojado num repositório GitHub.

A armadilha está na pasta .githooks do repositório, sob a forma de um hook de pre-commit, pelo que é acionada automaticamente no momento em que o programador faz commit do seu código de teste, sem necessidade de descarregamento ou duplo clique à parte. Outras variantes da mesma campanha esconderam a carga maliciosa dentro de ficheiros de imagem SVG através de esteganografia, e a Proofpoint identificou mais de 250 e-mails de recrutamento maliciosos só em abril e maio de 2026, concentrados em trabalhadores da tecnologia, educação e finanças, com especial foco em funções ligadas a criptomoedas.

O que o malware faz realmente

As famílias de malware usadas nestas campanhas, incluindo o OTTERCOOKIE e ferramentas relacionadas, estão concebidas para roubar credenciais do navegador, carteiras de criptomoedas e ficheiros, e para dar aos operadores acesso remoto à máquina infetada. Para um programador, esse acesso cai muitas vezes precisamente no ambiente que contém os repositórios da empresa, as credenciais de nuvem e os dados de clientes.

É aqui que os dois fios se ligam. Um grupo capaz de sustentar intrusões à escala documentada por Stykas, 1640 empresas em 57 países, também demonstra sustentar uma parte significativa do seu acesso através do ato comum de contratar, o que torna este vetor relevante para qualquer empresa da UE ou do Reino Unido que contrate programadores ou prestadores de serviços remotos, e para qualquer programador que esteja atualmente à procura de emprego.

Três verificações antes de clonar esse repositório

A defesa prática é específica, não um conselho genérico contra phishing. Verifique a identidade de um recrutador de forma independente, através da própria página de carreiras da empresa ou de um funcionário conhecido, antes de executar qualquer código que ele lhe envie. Considere um teste de programação que exija clonar um repositório completo com hooks e scripts de configuração como mais suspeito do que um entregue através de uma plataforma isolada em sandbox, uma vez que a sandbox remove precisamente o mecanismo de que depende o truque do .githooks.

Considere um calendário de contratação invulgarmente rápido e sob pressão como um sinal de alerta maior do que teria sido há um ano, e nunca execute um script de configuração, npm install ou um comando de build a partir de um repositório de teste antes de essa verificação de identidade estar concluída. Nada disto exige novas ferramentas, apenas uma pausa antes de o primeiro comando ser executado.

Leia a seguir: Rode cada chave de CI usada a 4 de agosto  |  O teste de intrusão mudou-se para a produção e ficou