Actores de amenazas estatales norcoreanos han estado llevando a cabo una operación en dos partes: haciéndose pasar por reclutadores de empleo mientras infiltran trabajadores falsos en empresas reales. Desde al menos 2022, estos actores han engañado a desarrolladores de software para que ejecuten código malicioso durante entrevistas técnicas falsas, utilizando las familias de malware BeaverTail y OtterCookie para robar credenciales y tomar el control remoto

Actores de amenazas estatales norcoreanos han estado llevando a cabo una operación en dos partes: haciéndose pasar por reclutadores de empleo mientras infiltran trabajadores falsos en empresas reales.

Desde al menos 2022, estos actores han engañado a desarrolladores de software para que ejecuten código malicioso durante entrevistas técnicas falsas, utilizando las familias de malware BeaverTail y OtterCookie para robar credenciales, tomar el control remoto de dispositivos y llevar a cabo robos financieros y de identidad.

La campaña, rastreada públicamente como Contagious Interview, ha afectado a miles de desarrolladores y sigue creciendo en escala.

Los actores de amenazas crean perfiles de reclutadores convincentes en plataformas profesionales de redes y dirigen a sus objetivos para que ejecuten código bajo la apariencia de una tarea técnica.

Una vez que la víctima ejecuta el proyecto, el malware se activa silenciosamente en segundo plano.

En paralelo, otros operativos norcoreanos se han infiltrado en empresas tecnológicas occidentales como empleados fraudulentos, ganando salarios que, según se informa, financian al régimen.

Analistas de GitLab identificaron y bloquearon 131 cuentas en GitLab.com en 2025 vinculadas a estas campañas de distribución de malware norcoreano.

La actividad alcanzó su punto máximo en septiembre, con un promedio de 11 bloqueos de cuentas por mes. Los analistas señalaron que, en más del 80% de los casos, los actores no almacenaban el malware directamente en GitLab, sino que colocaban un cargador oculto que obtenía las cargas útiles desde servicios de terceros como Vercel, lo que dificultaba mucho más su detección para los defensores.

La escala financiera detrás del esquema de trabajadores de TI es igualmente grave. Un repositorio privado descubierto por los analistas pertenecía a un gestor de célula llamado Kil-Nam Kang, quien supervisaba a siete operativos norcoreanos que operaban desde Pekín.

Los registros financieros muestran que la célula ganó más de 1,64 millones de dólares entre el primer trimestre de 2022 y el tercer trimestre de 2025 a través del desarrollo de software freelance bajo identidades robadas o fabricadas.

Tácticas de ejecución y ocultamiento de malware

El patrón de ejecución más común en 2025 propagó código malicioso en múltiples archivos de proyecto, lo que facilitaba pasarlo por alto incluso durante una revisión de código cuidadosa.

Los actores de amenazas codificaban una URL de preparación dentro de un archivo .env, disfrazada como una variable de configuración rutinaria.

Cuando un desarrollador ejecutaba el proyecto, una función desencadenante obtenía contenido remoto y lo pasaba a un manejador de errores personalizado que utilizaba el método Function.constructor de JavaScript para ejecutar la carga útil descargada como código en vivo.

Las URLs de preparación también devolvían contenido señuelo a menos que se incluyeran los encabezados de solicitud correctos, añadiendo otra capa de protección contra el análisis.

En diciembre de 2025, los analistas observaron un nuevo grupo que ejecutaba malware a través de configuraciones de tareas de VS Code, decodificando cargas útiles ocultas desde archivos de fuentes falsos.

Las organizaciones deberían tratar como sospechosos a los solicitantes de empleo con enlaces rotos a perfiles profesionales o portafolios de código.

Los desarrolladores deben evitar ejecutar código desconocido de contactos no verificados durante pruebas técnicas. Los equipos de seguridad deberían vigilar valores codificados en archivos .env y solicitudes salientes inesperadas activadas al inicio de la aplicación.