Los actores de amenazas norcoreanos, rastreados como UNC1069, han intensificado sus ataques contra los sectores de criptomonedas y finanzas utilizando una sofisticada combinación de nuevo malware e inteligencia artificial.

Activos desde al menos 2018, este grupo con motivaciones financieras sigue evolucionando sus tácticas, pasando de intentos de phishing estándar a intrusiones altamente personalizadas dirigidas a desarrolladores de software y firmas de capital de riesgo.

Su última campaña demuestra una expansión significativa en capacidades, centrada en la recolección de credenciales, tokens de sesión y datos del navegador para facilitar el robo financiero.

Los atacantes suelen iniciar el contacto a través de plataformas profesionales de mensajería social como Telegram, haciéndose pasar por reclutadores legítimos o ejecutivos para establecer una fuerte relación con posibles víctimas.

Tras ganar confianza, dirigen a los objetivos hacia una llamada de conferencia programada utilizando un enlace de reunión falso.

Para aumentar el engaño, utilizan videos deepfake generados por IA de CEOs de empresas durante estas llamadas, creando un ardid convincente que desarma a la víctima y la prepara para el compromiso técnico.

Analistas de Google Cloud identificaron las familias de malware y la transición del grupo hacia estos señuelos habilitados por IA tras observar un volumen inusualmente grande de herramientas maliciosas desplegadas en hosts de víctimas.

Los investigadores señalaron que UNC1069 ahora utiliza un arsenal diverso de siete familias distintas de malware, incluyendo backdoors personalizados y extensiones de navegador especializadas.

Esta agresiva estrategia de herramientas indica un esfuerzo decidido para eludir las medidas de seguridad, asegurar acceso persistente y extraer la mayor cantidad posible de información sensible de los sistemas comprometidos antes de ser detectados.

El impacto de estas intrusiones es grave, ya que los atacantes buscan vaciar billeteras de criptomonedas y robar datos de identidad para alimentar futuras campañas de ingeniería social.

Al desplegar múltiples capas de software malicioso, se aseguran de que, incluso si se elimina una herramienta, otras permanezcan activas para mantener el control sobre la red. Esta persistencia les permite monitorear la actividad de las víctimas durante períodos prolongados.

El mecanismo de infección ClickFix

El método principal para violar inicialmente los sistemas de las víctimas en esta campaña implica una técnica engañosa de ingeniería social conocida como “ClickFix”.

Durante la reunión fraudulenta de Zoom, los atacantes simulan un problema técnico de audio y dirigen urgentemente al usuario a un sitio web malicioso para solucionarlo.

Este sitio presenta comandos específicos de “solución” que la víctima es engañada para ejecutar en su dispositivo con el supuesto fin de resolver el fallo.

Se instruye al usuario para que copie y ejecute un comando en la terminal que descarga y lanza sigilosamente la carga inicial de malware.

Esta acción elude hábilmente las comprobaciones de seguridad estándar porque el usuario autoriza manualmente el proceso. Una vez ejecutado este comando, despliega un backdoor llamado WAVESHAPER o un descargador como SUGARLOADER.

Estos programas establecen inmediatamente una conexión con el servidor de comando y control del atacante, completando así la cadena de infección y otorgando a los hackers un punto de apoyo firme para desplegar herramientas adicionales de minería de datos como CHROMEPUSH o DEEPBREATH.