Alineados con Corea del Norte han lanzado una nueva campaña que convierte la inteligencia artificial en un arma contra equipos de desarrollo de software. Utilizando código PowerShell escrito con IA, el grupo conocido como KONNI está distribuyendo una puerta trasera sigilosa que mezcla contenido real de proyectos con scripts maliciosos. 

Hackers alineados con Corea del Norte han lanzado una nueva campaña que convierte la inteligencia artificial en un arma contra equipos de desarrollo de software.

Utilizando código PowerShell escrito por IA, el grupo conocido como KONNI está distribuyendo un backdoor sigiloso que mezcla contenido real de proyectos con scripts maliciosos.

Esta operación demuestra lo rápido que los actores de amenazas están adoptando herramientas de IA para acelerar el desarrollo y ocultar sus rastros.

En la última oleada, KONNI está atacando a desarrolladores y equipos de ingeniería que trabajan en proyectos de blockchain y criptomonedas en la región de Asia-Pacífico, incluyendo Japón, Australia e India.

Los atacantes elaboran documentos detallados de requisitos que parecen informes reales de productos, describiendo bots de trading, sistemas de credenciales y hojas de ruta de entrega, para luego enviarlos como señuelos en formato PDF.

Estos documentos están diseñados para ganarse la confianza del personal técnico e inducirlos a abrir archivos de acceso directo adjuntos que inician silenciosamente la cadena de infección.

Investigadores de Check Point identificaron la actividad como parte del clúster KONNI, de larga duración, y señalaron que la carga útil es un backdoor de PowerShell generado por IA con extensos comentarios y una estructura limpia.

Este backdoor hace más que abrir una puerta trasera remota: recopila detalles de hardware, verifica la presencia de herramientas de depuración, y asegura que solo se ejecute una copia a la vez, todo mientras mantiene un diseño profesional al estilo de un desarrollador.

Para las organizaciones víctimas, el riesgo va mucho más allá de una sola estación de trabajo comprometida. Al atacar a desarrolladores que tienen acceso a repositorios, consolas en la nube y claves de firma, KONNI puede moverse desde un punto final infectado hacia toda la cadena de construcción o sistemas de producción.

Cadena de infección y tácticas de persistencia

El ataque comienza cuando un objetivo abre el archivo ZIP y hace doble clic en un archivo de acceso directo de Windows que se encuentra junto al señuelo en PDF.

Ese acceso directo ejecuta un cargador de PowerShell integrado, que silenciosamente deja caer un segundo documento señuelo y un archivo CAB comprimido.

A partir de ahí, los archivos por lotes descomprimidos del archivo CAB mueven el backdoor a una carpeta oculta de ProgramData y crean una tarea programada que imita una entrada de inicio de OneDrive.

Esta tarea se ejecuta cada hora, descifra la carga útil de PowerShell desde el disco usando una clave XOR simple y la ejecuta directamente en memoria, manteniendo el archivo principal del malware sin archivos durante la ejecución y dificultando mucho más la respuesta a incidentes.