Como o Lazarus mantém acesso fantasma às exchanges antes de executar o assalto

O grupo Lazarus, ligado ao governo norte-coreano, implantou um programa de acesso remoto não autorizado chamado RemotePE contra empresas do setor financeiro e de ativos digitais. Segundo a empresa Fox-IT, subsidiária do grupo NCC, em relatório publicado em 22 de maio, o programa malicioso executa suas operações inteiramente na memória do computador infectado, sem salvar arquivos no disco rígido, o que lhe permite escapar dos sistemas de detecção de ameaças mais difundidos na indústria.

Segundo os pesquisadores Yun Zheng Hu e Mick Koomen, o RemotePE faz parte de uma cadeia de ataque de três estágios que inclui dois programas intermediários: DPAPILoader, que descriptografa carga maliciosa usando ferramentas nativas do sistema operacional Windowse RemotePELoader, que contata um servidor externo para receber o módulo principal e executá-lo diretamente na memória.

A Fox-IT observa que o acesso inicial às organizações-alvo acontece através de engano no Telegram. Os invasores se apresentam como funcionários de empresas de investimento e direcionar suas vítimas para reuniões agendadas em sites falsos que imitam plataformas legítimas de agendamento. Uma vez dentro do sistema, o programa pode permanecer ativo por meses sem ser identificado.

A empresa sustenta que Os primeiros registros deste ataque datam de novembro de 2023enquanto a versão mais antiga do RemotePE identificada é datada de 4 de julho do mesmo ano. Nenhuma das amostras analisadas foi detectada por plataformas públicas de análise de ameaças antes da publicação do relatório.

Controle total das sombras

Uma vez instalado, o RemotePE dá ao invasor controle operacional completo sobre o sistema comprometido. Segundo a empresa, o programa não atua de forma autônoma: cada entrega do módulo principal requer a intervenção manual de um operador humano, que decide quando e para quem enviá-lo.

O programa permite que o invasor execute as seguintes ações no computador comprometido:

• Modifique a configuração do servidor do qual você recebe pedidos
• Gerenciar pastas e módulos do sistema
• Ler, escrever, compactar, renomear ou excluir arquivos
• Liste, crie ou exclua processos em execução
• Carregue módulos adicionais em tempo real, sem reiniciar o programa
• Regular os intervalos de atividades para reduzir a visibilidade

A empresa também destaca que antes de excluir um arquivo, o programa sobrescreve sete vezes com dados constantesuma técnica de exclusão que dificulta a recuperação de evidências forenses e que é compartilhada com outros programas maliciosos do mesmo grupo, como PondRAT e POOLRAT.

A empresa alerta que o modelo de operação supervisionada por humanos em tempo real, combinado com a baixa taxa de detecção do conjunto de ferramentas, sugere que o RemotePE seja reservado para alvos de alto valoronde o acesso silencioso e prolongado precede uma ação final de alto impacto, como o roubo massivo de fundos ou a extração de informações sensíveis.

Um padrão que se repete com números crescentes

RemotePE não é um caso isolado. De acordo com a empresa de análise Arkham, Lazarus foi responsável por mais de 70% de todos os ataques a protocolos financeiros descentralizados registrado em 2026, com dois acertos realizados em abril que totalizaram mais de 577 milhões de dólares: o primeiro contra o Drift Protocol, onde agentes do grupo apareceram em conferências setoriais e fizeram depósitos de mais de um milhão de dólares para parecerem parceiros legítimos antes de drenarem os recursos; a segunda contra o KelpDAO, manipulando os nós que verificavam as transações entre redes. Ambos os ataques compartilham com o RemotePE o mesmo princípio operacional: meses de preparação silenciosa antes de uma ação final irreversível.

O contexto é mais amplo, em abril passado ocorreram 34 ataques a protocolos de finanças descentralizadas (DeFi), com perdas de aproximadamente US$ 635 milhões, o que representou 78% de tudo o que foi roubado no ecossistema até agora neste ano, segundo relatório mensal da CDSecurity. Desde 2017, O grupo acumula mais de US$ 6 bilhões em ativos digitais roubadossegundo Arkham, figura que coloca o Lazarus não como um ator oportunista, mas como uma operação estatal com objetivos financeiros de longo prazo. O RemotePE é, segundo a Fox-IT, a ferramenta mais sofisticada documentada até agora nesse arsenal.