De um AirDrop à nuvem: o ataque living-off-the-cloud que vazou milhões em cripto

Um ataque sofisticado dirigido a uma empresa do ecossistema de criptomoedas voltou a destacar como uma intrusão que começa no dispositivo pessoal de um desenvolvedor pode acabar vaciando carteiras por milhões de dólares em um ambiente cloud. De acordo com o relatório semestral de ameaças na nuvem do Google Cloud, atribuído a um grupo de confiança moderado a um grupo ligado à Coreia do Norte (rastreados sob a sigla como UNC4899 entre outros), a campanha combinou engenharia social, abuso de mecanismos de transferência pessoal-a-corporativo e técnicas de pivotagem próprias do chamado living‐off‐the‐cloud para escalar privilégios e manipular a lógica financeira em produção ( H1 2026 Cloud Threat Horizons Report).

O ponto de entrada foi simples, mas efetivo: os atacantes passaram por colaboradores de um projeto de código aberto e conseguiram que o desenvolvedor baixasse um arquivo comprimido aparentemente legítimo. Esse mesmo arquivo passou do telefone pessoal para a equipe corporativa através do AirDrop, e foi aberto dentro de um ambiente de desenvolvimento assistido por IA. O código de Python malicioso incorporado foi executado e executado posteriormente um binário que imitava a ferramenta de linha de comandos de Kubernetes, proporcionando uma porta traseira silenciosa para a máquina corporativa.

Desde essa máquina comprometida os atacantes coletaram sessões e credenciais disponíveis para se mover para o ambiente cloud. Em uma fase inicial realizaram reconhecimento dos projetos e serviços infranqueados até localizar uma porta de entrada mais crítica: um bastion host que, após modificar atributos relacionados à autenticação multifator, permitiu-lhes aprofundar em pods concretos do cluster Kubernetes ( o que é um bastion host).

A forma como os operadores mantiveram presença e a facilidade com que pivotaram dentro do ambiente ilustra por que os defensores falam de viver da nuvem: modificaram configurações de implantação para que, sempre que um pod fosse criado, um comando bash pode ser executado automaticamente e executado um backdoor. Ao mesmo tempo, introduziram mudanças em recursos vinculados à plataforma CI/CD para registrar tokens de contas de serviço nos logs, o que lhes permitiu apropriar-se de um token de alto privilégio e usá-lo para se mover lateralmente para pods com permissões elevadas e modos privilegiados de execução.

Com esse acesso privilegiado os atacantes conseguiram escapar do recipiente e implantar persistência em infra-estruturas sensíveis. Mais tarde focaram seus esforços em uma carga de trabalho que armazenava informações de clientes: identificadores, configurações de segurança e dados associados às carteiras. Ali extraíram credenciais estáticas que se encontravam em variáveis de ambiente e as usaram para se conectar à base de dados de produção através do proxy da Cloud SQL, onde fizeram mudanças em contas ( restabelecimento de senhas e atualização de sementes MFA) para se fazer finalmente com o controle de contas de alto valor e retirar vários milhões em ativos digitais.

O incidente contém várias lições que não são novas mas persistentes: as transferências pessoais-a-corporativas (AirDrop, Bluetooth, meios removíveis não geridos) continuam a ser vetores de entrada perigosos; os contentores executados em modo privilegiado amplificam o dano potencial; e o manejo de segredos em texto claro ou em variáveis de ambiente continua a facilitar a escalada e a exfiltração quando cai nas mãos erradas. Por isso, os autores do relatório recomendam uma aproximação em profundidade que combine controles de identidade, restrições em pontes de dados e isolamento estrito nos runtimes cloud.

Na prática, isso implica validar continuamente a identidade e usar fatores resistentes ao phishing, restringir ou desactivar o intercâmbio P2P em dispositivos corporativos, exigir imagens de contentor de confiança e políticas que impeçam que nós não comprometidos estabeleçam comunicações salientes não autorizadas. Também obriga a monitorar processos incomuns dentro de contêineres e a migrar credenciais e segredos fora de variáveis de ambiente para soluções de gestão de segredos robustas e auditáveis. Para compreender melhor como funciona o acesso a bases de dados a partir de ambientes geridos, consultar a documentação oficial do Cloud SQL Auth Proxy.

A comunidade de segurança na nuvem também possui material de referência para endurecer plataformas e práticas: documentação oficial de Kubernetes sobre segurança e políticas de pod é um bom ponto de partida ( Kubernetes: conceitos de segurança) e os quadros de ameaças como o catálogo do MITRE ajudam a mapear técnicas observadas com mitigações conhecidas ( MITRE ATT&CK for Cloud).

Também é útil rever recomendações oficiais sobre a utilização segura de funções de transferência entre dispositivos. A Apple, por exemplo, documenta como a AirDrop funciona e que controlos existem para limitar o seu uso, algo relevante se você quiser reduzir o risco de um arquivo malicioso cruzar a linha entre o pessoal e o trabalho ( suporte Apple: AirDrop).

Este episódio é um convite para repensar a arquitetura de confiança nos equipamentos de desenvolvimento e operações: o conforto de usar assistentes de código e transferir artefatos entre dispositivos não deve apagar a necessidade de controles básicos. Uma combinação de políticas de acesso contextual, MFA robusta, gestão adequada de segredos e segmentação de runtime pode reduzir drasticamente a superfície de ataque, mas requer disciplina organizacional e visibilidade contínua sobre o que ocorre dentro de clusters e pipelines.

Que atores com motivações estatais recorrem a técnicas tão integradas — desde a engenharia social até a manipulação de implantação em Kubernetes — salienta que os cenários de risco atuais são híbridos e encadeados: um pequeno descuido no extremo do desenvolvedor pode se tornar, se exploram as fraquezas do ambiente cloud, em um roubo bilionário. A prevenção passa por fechar essas cadeias em todos os seus eslabões e por investir em controles que dificultem o movimento lateral e a persistência uma vez dentro.