DevOps sob ataque: hackers da Coreia do Norte miram engenheiros

Você já parou para pensar que a sua máquina de trabalho pode ser a porta de entrada para um ataque cibernético em escala global? Pois é exatamente isso que está acontecendo com engenheiros DevOps e profissionais de tecnologia. Recentemente, uma investigação da SentinelOne revelou que o grupo hacker norte-coreano Jade Sleet (também conhecido como PUKCHONG, Slow Pisces, TraderTraitor e UNC4899) comprometeu uma empresa de TI na Índia usando projetos Terraform manipulados. O alvo? Um MacBook com Apple Silicon usado por um engenheiro DevOps. E o pior: os backdoors FLATROOF e ROOFDECK ficaram escondidos no sistema por dias antes de serem ativados.

Mas calma, não precisa entrar em pânico. Neste artigo, vou te explicar de forma simples como esse ataque funciona, por que ele é tão perigoso para quem trabalha com tecnologia e, principalmente, como você pode se proteger. E olha, não é só sobre Terraform ou macOS: vou te mostrar como a exposição de dados em redes Wi-Fi públicas pode ser um risco adicional nesse cenário. Vamos juntos?

O ataque: engenharia social e um arquivo de bloqueio malicioso

O grupo Jade Sleet não é novato nesse jogo. Eles têm um histórico extenso de ataques contra empresas de criptomoedas, blockchain e Web3, além de fornecedores dessas organizações. O método usado aqui é conhecido como engenharia social com falsas oportunidades de emprego. Basicamente, os hackers criam vagas de trabalho falsas para DevOps, engenheiros de infraestrutura e profissionais de fintechs. Quando o candidato morde a isca, recebe um projeto aparentemente legítimo hospedado no GitHub.

O pulo do gato está em um arquivo chamado .terraform.lock.hcl. Esse arquivo é usado pelo Terraform para garantir que as dependências do projeto sejam baixadas de fontes confiáveis. Só que, nesses repositórios falsos, o arquivo foi manipulado para apontar para domínios controlados pelos invasores. Quando o desenvolvedor executa o comando terraform init, o Terraform baixa módulos maliciosos diretamente da infraestrutura dos hackers. A partir daí, o sistema é infectado com dois malwares: o FLATROOF e o ROOFDECK.

Se você quiser entender melhor como esses grupos operam, recomendo a leitura da notícia original: Hackers norte-coreanos usam projetos Terraform manipulados para atacar empresa de TI na Índia.

Por que engenheiros DevOps são alvos tão valiosos?

Se você trabalha com DevOps, provavelmente tem acesso a muita coisa sensível: código-fonte, ambientes de nuvem, pipelines de CI/CD, chaves de API, credenciais de produção... A lista é longa. Um único engenheiro comprometido pode abrir as portas para um ataque em cadeia de suprimentos, que é exatamente o que o Jade Sleet busca. Eles não querem apenas uma máquina; eles querem acesso a toda a infraestrutura da empresa.

No caso da empresa indiana, o MacBook infectado pertencia a um engenheiro DevOps. Os backdoors ficaram inativos por dias, esperando o momento certo. Quando o engenheiro abriu um workspace chamado cloudshield no editor de código Cursor, os malwares foram ativados. Isso mostra que os atacantes são pacientes e estratégicos: eles esperam o alvo usar ferramentas específicas para maximizar o dano.

E não para por aí. O ROOFDECK, por exemplo, usa o protocolo descentralizado Nostr para comunicação com o servidor de comando e controle (C2). Isso dificulta o rastreamento e o bloqueio. Além disso, os comandos enviados ao malware são assinados com a chave privada dos operadores, o que impede que terceiros assumam o controle do backdoor. É um nível de sofisticação impressionante.

Os malwares FLATROOF e ROOFDECK: o que eles fazem?

Vamos dar uma olhada mais de perto nessas duas ameaças:

• FLATROOF (Gaslight): é um backdoor escrito em Rust, direcionado a sistemas macOS baseados em ARM. Ele usa o Telegram como infraestrutura de C2, o que é uma escolha inteligente, já que o Telegram é amplamente utilizado e seu tráfego pode passar despercebido. O FLATROOF permite executar comandos, enviar e baixar arquivos, e coletar informações do sistema. Ele também tem um módulo Python que extrai dados de navegadores (Chrome, Brave, Firefox, Safari), histórico do Terminal, lista de aplicativos, informações de hardware e software, processos em execução e até uma cópia do arquivo login.keychain-db, que armazena dados do Keychain do macOS. Ou seja, ele pode roubar senhas, cookies e outros segredos.
• ROOFDECK: também escrito em Rust, mas usa o protocolo Nostr para C2. Suas funcionalidades incluem reconhecimento do sistema, manipulação de arquivos, acesso remoto por shell, movimentação lateral e persistência por meio de Launch Agents do macOS. Uma versão atualizada do ROOFDECK foi instalada no computador do engenheiro em 20 de abril, removendo binários antigos e eliminando símbolos de depuração para dificultar a análise.

Esses malwares são um lembrete de que macOS não é imune a ameaças. Muitas pessoas acreditam que Macs são seguros por padrão, mas a realidade é bem diferente. Aliás, se você quer saber mais sobre riscos específicos para dispositivos Apple, leia este artigo sobre o CrashStealer: o lado obscuro que a Apple não revela.

A relação com redes Wi-Fi públicas: um perigo silencioso

Agora, você pode estar se perguntando: "O que redes Wi-Fi públicas têm a ver com isso?" A resposta é: muito. Imagine que você é um engenheiro DevOps e está trabalhando remotamente de um café ou de um aeroporto, usando uma rede Wi-Fi pública. Essas redes são notoriamente inseguras, pois qualquer pessoa na mesma rede pode interceptar o tráfego não criptografado. Se você estiver baixando módulos Terraform ou acessando repositórios sem uma VPN, um atacante pode facilmente redirecionar seu tráfego para servidores maliciosos.

No caso do ataque do Jade Sleet, a infecção inicial provavelmente ocorreu quando o engenheiro executou terraform init em um projeto manipulado. Mas e se ele estivesse em uma rede Wi-Fi pública? O risco seria ainda maior, pois o atacante poderia interceptar a comunicação e injetar módulos maliciosos em tempo real, sem a necessidade de um arquivo de bloqueio falso. Por isso, é fundamental usar uma VPN confiável sempre que estiver em redes públicas.

Além disso, redes Wi-Fi públicas são um prato cheio para ataques de man-in-the-middle (MITM). Um atacante pode se posicionar entre você e o servidor legítimo e capturar credenciais, tokens de sessão e outros dados sensíveis. Se você estiver usando o Terraform ou qualquer outra ferramenta de DevOps sem proteção, suas credenciais de nuvem podem ser expostas em segundos.

Como se proteger: passos práticos para engenheiros DevOps

Agora que você entende o risco, vamos às ações práticas. Aqui estão algumas medidas que você pode adotar hoje mesmo para reduzir sua exposição:

1. Desconfie de oportunidades de emprego não solicitadas: se você receber uma oferta de trabalho de uma empresa que não conhece, pesquise a empresa, verifique o domínio do e-mail e procure por avaliações de outros candidatos. Grupos como o Jade Sleet usam vagas falsas para atrair vítimas.
2. Revise o arquivo .terraform.lock.hcl antes de executar terraform init: verifique se as URLs apontam para domínios oficiais (como registry.terraform.io ou o domínio da sua empresa). Se algo parecer estranho, não execute o comando.
3. Use uma VPN sempre que estiver em redes Wi-Fi públicas: isso criptografa seu tráfego e impede que atacantes interceptem suas comunicações. Escolha uma VPN de confiança, com política de não registro de logs.
4. Mantenha seu sistema e ferramentas atualizados: muitos ataques exploram vulnerabilidades conhecidas. Atualize regularmente o macOS, o Terraform e outras ferramentas de desenvolvimento.
5. Monitore seu sistema em busca de atividades suspeitas: use ferramentas como o lsof e netstat para verificar conexões de rede e processos em execução. Se notar algo estranho, investigue imediatamente.
6. Considere usar um gerenciador de senhas e autenticação de dois fatores (2FA): isso adiciona uma camada extra de segurança, mesmo se suas credenciais forem comprometidas.

E lembre-se: a segurança não é um destino, é uma jornada. Fique sempre atento e informe-se sobre as últimas ameaças. Por exemplo, você sabia que vulnerabilidades em alarmes de carro podem levar ao sequestro de contas digitais? Parece loucura, mas é real. Leia mais em Vulnerabilidades em Alarmes de Carro e o Risco de Sequestro de Contas.

O impacto para as empresas: cadeia de suprimentos em risco

O ataque à empresa de TI na Índia não é um incidente isolado. O Jade Sleet tem um histórico de comprometer fornecedores para alcançar alvos maiores. Em 2025, o grupo foi associado ao comprometimento da cadeia de suprimentos do ambiente de desenvolvimento da Safe{Wallet}, que precedeu o roubo de aproximadamente US$ 1,5 bilhão da Bybit. Ou seja, um único engenheiro comprometido pode levar a perdas catastróficas.

Por isso, as empresas precisam tratar a segurança de endpoints de desenvolvedores como prioridade máxima. Isso inclui:

• Implementar políticas de Zero Trust, onde nenhum dispositivo ou usuário é confiável por padrão.
• Fornecer treinamento regular de conscientização sobre engenharia social e phishing.
• Monitorar ativamente os endpoints em busca de indicadores de comprometimento (IoCs) associados a grupos como o Jade Sleet.
• Restringir o acesso a repositórios e ambientes de nuvem com base no princípio do menor privilégio.

Se você é um profissional de segurança ou líder de equipe, compartilhe essas informações com seus colegas. A prevenção começa com a educação.

Conclusão: sua identidade digital é o seu bem mais valioso

O ataque do Jade Sleet usando projetos Terraform manipulados é um alerta para todos nós, especialmente para quem trabalha com tecnologia. Os hackers estão cada vez mais sofisticados e pacientes, esperando o momento certo para agir. Mas, com as medidas certas, você pode reduzir significativamente o risco.

E não se esqueça: sua identidade digital é o seu bem mais valioso. Se seus dados vazarem, as consequências podem ser devastadoras, desde roubo de identidade até perdas financeiras. Por isso, é fundamental monitorar constantemente se suas informações pessoais foram expostas em vazamentos de dados.

Na Kzarka, você pode verificar gratuitamente se seus dados vazaram e monitorar sua identidade digital de forma contínua. Não espere ser a próxima vítima. Acesse agora e assuma o controle da sua segurança digital.

Perguntas Frequentes (FAQ)

1. O que é o grupo Jade Sleet?

Jade Sleet é um grupo hacker associado à Coreia do Norte, também conhecido como PUKCHONG, Slow Pisces, TraderTraitor e UNC4899. Eles são especializados em ataques contra empresas de criptomoedas, blockchain e Web3, usando engenharia social e malwares sofisticados.

2. Como posso saber se um projeto Terraform é malicioso?

Verifique o arquivo .terraform.lock.hcl e as URLs dos módulos. Se apontarem para domínios desconhecidos ou suspeitos, não execute terraform init. Além disso, desconfie de projetos enviados por recrutadores em processos seletivos não solicitados.

3. Redes Wi-Fi públicas são realmente perigosas para desenvolvedores?

Sim. Redes Wi-Fi públicas são alvos fáceis para ataques de interceptação de tráfego. Sem uma VPN, qualquer pessoa na mesma rede pode capturar seus dados, incluindo credenciais e tokens de sessão. Sempre use uma VPN confiável ao trabalhar em locais públicos.

4. Como a Kzarka pode me ajudar a proteger minha identidade digital?

A Kzarka oferece monitoramento contínuo de vazamentos de dados e alertas em tempo real se suas informações pessoais forem expostas. Você pode verificar gratuitamente se seus dados já vazaram e tomar medidas proativas para proteger sua identidade. Acesse kzarka.com para saber mais.