Este novo relatório detalha a operação Ruby Jumper, uma sofisticada campanha de espionagem identificada em dezembro de 2025 pela Zscaler. A ação é atribuída ao grupo APT37 (ou ScarCruft), coletivo de hackers financiado pelo Estado da Coreia do Norte.
Abaixo, os principais pontos da operação que utiliza dispositivos físicos para superar barreiras digitais:
A Invasão: O Salto sobre o “Air Gap”
O diferencial da Ruby Jumper é a capacidade de atravessar o air gap — o isolamento físico de computadores que não possuem conexão com a internet, comum em áreas militares e industriais.
- O Vetor: O ataque utiliza pen drives como intermediários.
- O Início: A vítima é atraída por um arquivo de atalho (.LNK) que exibe um artigo em árabe sobre o conflito Palestina-Israel (tradução de um jornal norte-coreano) enquanto instala silenciosamente o malware RESTLEAF.
Camuflagem e Persistência
Para evitar detecção, os criminosos utilizam táticas de “viver da terra” e serviços legítimos:
- Nuvem como Disfarce: O malware se comunica através do Zoho WorkDrive, misturando o tráfego malicioso ao uso corporativo comum.
- Uso da Linguagem Ruby: O código instala um interpretador da linguagem Ruby, disfarçando-o com nomes de arquivos de sistema (como usbspeed.exe) para monitorar portas USB sem levantar suspeitas.
O Ciclo de Infecção via USB
O grupo utiliza dois módulos específicos para manipular dispositivos físicos:
- THUMBSBD: Monitora a inserção de pen drives, criando pastas ocultas que imitam a Lixeira do Windows para armazenar dados roubados.
- VIRUSTASK: Infecta o próprio pen drive, substituindo arquivos reais por atalhos maliciosos. Quando o usuário tenta abrir um documento em um computador isolado, acaba executando o vírus.
Espionagem Total (Payload Final)
Uma vez consolidada a infecção, o spyware FOOTWINE é ativado, permitindo aos atacantes:
- Registrar tudo o que é digitado (keylogger).
- Capturar imagens da tela e ativar remotamente microfone e câmera.
- Manter um acesso persistente via backdoor (BLUELIGHT), utilizando outros serviços de nuvem como Google Drive e OneDrive para o roubo de dados.
Conclusão sobre o Alvo: O uso de iscas temáticas sugere que o foco são organizações ou indivíduos interessados na geopolítica e nas narrativas da Coreia do Norte, alinhando-se ao histórico de vigilância estatal do grupo APT37.
