O grupo norte-coreano APT37, tamb\u00e9m conhecido como ScarCruft ou Reaper, est\u00e1 por tr\u00e1s de uma opera\u00e7\u00e3o de espionagem digital que infectou jogos para Android na plataforma SQGames. A a\u00e7\u00e3o, concentrada na regi\u00e3o de Yanbian, na China, buscou monitorar refugiados e dissidentes da comunidade coreana local.<\/p>\n
Segundo a pesquisa da ESET, o objetivo foi coletar dados de usu\u00e1rios por meio de um backdoor embutido em dois jogos Android dispon\u00edveis no site SQGame. O malware, batizado BirdCall, foi inserido nos t\u00edtulos sem o conhecimento dos desenvolvedores originais, que mantinham as vers\u00f5es leg\u00edtimas no servidor.<\/p>\n
O ataque, ainda em curso, deve remontar ao final de 2024. O BirdCall j\u00e1 tinha uma vers\u00e3o para Windows conhecida desde 2021; a vers\u00e3o para Android foi identificada apenas recentemente. A ESET aponta o ScarCruft como respons\u00e1vel, ligado ao governo norte-coreano e ativo desde 2012.<\/p>\n
Ao abrir o jogo infectado, o BirdCall coleta a lista de arquivos do dispositivo, al\u00e9m de contatos, registro de chamadas e mensagens. O malware envia dados b\u00e1sicos do aparelho e localiza\u00e7\u00e3o aproximada periodicamente para os atacantes. Tamb\u00e9m busca arquivos com formatos comuns (jpg, doc, xls, pdf, p12) para exfiltra\u00e7\u00e3o.<\/p>\n
Os dados coletados s\u00e3o transmitidos por meio de servi\u00e7os de armazenamento na nuvem, utilizando contas do Zoho WorkDrive para comunica\u00e7\u00e3o com os operadores. Essa t\u00e1tica facilita a passagem de informa\u00e7\u00f5es sem acender alertas de seguran\u00e7a.<\/p>\n
No Windows, o instalador do cliente parecia limpo, mas atualiza\u00e7\u00f5es autom\u00e1ticas estavam comprometidas desde novembro de 2024. O arquivo mono.dll, modificado, carregava o BirdCall ao instalar um componente adicional denominado RokRAT, j\u00e1 associado ao ScarCruft.<\/p>\n
Yanbian abriga a maior comunidade coreana fora da pen\u00ednsula. A regi\u00e3o, na fronteira com a Coreia do Norte, \u00e9 usada por refugiados e dissidentes que tentam deixar o pa\u00eds. O ScarCruft tem hist\u00f3rico de ataques contra esses grupos e organiza\u00e7\u00f5es militares e governamentais em pa\u00edses asi\u00e1ticos.<\/p>\n
Entre outubro de 2024 e junho de 2025, o BirdCall passou por sete vers\u00f5es para Android, de 1.0 a 2.0. A plataforma SQGame foi notificada pela ESET sobre o comprometimento em dezembro de 2025, mas os arquivos maliciosos ainda estavam dispon\u00edveis no site na ocasi\u00e3o da publica\u00e7\u00e3o.<\/p>\n
A campanha evidencia a utiliza\u00e7\u00e3o de jogos leg\u00edtimos como vetor de espionagem em regi\u00f5es com comunidades sens\u00edveis. A pr\u00e1tica combina infec\u00e7\u00e3o de apps, exfiltra\u00e7\u00e3o de dados e comunica\u00e7\u00e3o encoberta via servi\u00e7os de nuvem, fortalecendo a necessidade de verifica\u00e7\u00e3o de aplicativos antes do download.<\/p>\n","protected":false},"excerpt":{"rendered":"