Alerta de seguridad: hackers vinculados a Corea del Norte lanzan una nueva campaña de malware dirigida a empresas de criptomonedas

Una sofisticada operación cibernética atribuida a Corea del Norte ha sido expuesta, apuntando a empresas de criptomonedas y fintech con un arsenal avanzado de malware y técnicas de ingeniería social impulsadas por IA. Mandiant, la división de inteligencia de amenazas de Google Cloud, ha documentado este creciente grupo de amenazas denominado UNC1069, revelando una expansión dramática de actividades que fueron detectadas por primera vez por investigadores en 2018.

Mandiant revela UNC1069: las capacidades cibernéticas en evolución de Corea del Norte

La investigación de Mandiant descubrió una campaña de intrusión dirigida que desplegó un conjunto de siete variantes de malware distintas, cada una diseñada para tareas específicas de recopilación y exfiltración de datos. Entre las herramientas recién identificadas están CHROMEPUSH y DEEPBREATH, diseñadas para evadir mecanismos críticos de seguridad del sistema operativo y extraer información sensible del host y de la víctima. Junto a estas, los investigadores documentaron las familias de malware SILENCELIFT y varias otras, que representan una infraestructura de ataque coordinada y completa.

Según la evaluación técnica de Mandiant: “Esta investigación reveló una intrusión a medida que resultó en el despliegue de siete familias de malware únicas, incluyendo un nuevo conjunto de herramientas diseñadas para capturar datos del host y de la víctima: SILENCELIFT, DEEPBREATH y CHROMEPUSH.” Este conjunto diversificado de herramientas indica un actor de amenazas bien equipado, con una sofisticación técnica significativa y acceso a capacidades de desarrollo especializadas.

La ingeniería social avanzada se combina con engaños generados por IA

La campaña vinculada a Corea del Norte aprovechó cuentas comprometidas de Telegram como puntos de contacto inicial, mientras orquestaba simultáneamente reuniones falsas en Zoom mejoradas con contenido de deepfake generado por IA. Este enfoque de engaño en múltiples capas representa una escalada notable en las tácticas de manipulación social. Las víctimas fueron manipuladas sistemáticamente para ejecutar comandos ocultos mediante lo que los investigadores llaman ataques ClickFix—una técnica que consiste en inyectar instrucciones encubiertas que se ejecutan sin que el usuario lo note.

La integración de inteligencia artificial en la metodología de ingeniería social demuestra cómo los actores de amenazas continúan adaptándose y weaponizando tecnologías emergentes. El componente de deepfake en video destaca particularmente la sofisticación de la campaña, dificultando cada vez más la atribución y la verificación de víctimas para las organizaciones objetivo.

Implicaciones para la industria de las criptomonedas

El enfoque deliberado en empresas de criptomonedas y fintech plantea preguntas críticas sobre los intereses estratégicos de Corea del Norte en infraestructura de activos digitales y datos financieros sensibles. Estas operaciones sugieren un posible interés en:

• Recopilación de credenciales para movimientos laterales dentro de redes empresariales
• Datos de transacciones en blockchain para recopilación de inteligencia o operaciones de rescate
• Datos de identificación personal que podrían facilitar compromisos adicionales o actividades de espionaje

Las empresas que operan en el espacio cripto son señaladas como objetivos prioritarios en el manual cibernético de Corea del Norte, lo que requiere una vigilancia y postura de seguridad reforzadas. La persistencia de la campaña desde 2018 y su continua evolución indican que no se trata de una amenaza temporal, sino de una prioridad estratégica sostenida para el adversario.

Qué deben considerar las organizaciones

La campaña UNC1069 subraya la importancia de la capacitación en seguridad para empleados, enfocada en la detección de deepfakes y en protocolos de verificación para comunicaciones inesperadas. La autenticación multifactor, capacidades de detección y respuesta en endpoints, y la monitorización continua de las firmas de malware identificadas son medidas defensivas esenciales. A medida que las operaciones cibernéticas de Corea del Norte maduran y amplían su alcance, las empresas de criptomonedas deben tratar este panorama de amenazas como una prioridad activa e inmediata.