El grupo patrocinado por el estado norcoreano, Lazarus Group, ha lanzado una sofisticada campaña de falsos reclutadores dirigida a desarrolladores de criptomonedas mediante una operación maliciosa llamada “graphalgo”. Activa desde mayo de 2025, este ataque coordinado utiliza ofertas de empleo fraudulentas para distribuir troyanos de acceso remoto a desarrolladores desprevenidos que trabajan con tecnologías de blockchain y criptomonedas.

El equipo patrocinado por el estado norcoreano, Lazarus Group, ha lanzado una sofisticada campaña de falsos reclutadores dirigida a desarrolladores de criptomonedas mediante una operación maliciosa llamada “graphalgo”.

Activa desde mayo de 2025, este ataque coordinado utiliza ofertas de empleo fraudulentas para distribuir troyanos de acceso remoto a desarrolladores desprevenidos que trabajan con tecnologías de blockchain y criptomonedas.

La campaña explota repositorios de paquetes de código abierto de confianza, como GitHub, npm y PyPI, convirtiendo flujos de trabajo legítimos de desarrollo en vectores de infección.

Los atacantes se acercan a posibles víctimas a través de plataformas profesionales de networking como LinkedIn y Facebook, o publicando anuncios de empleo en foros de desarrolladores como Reddit.

El esquema de ingeniería social gira en torno a oportunidades laborales en empresas falsas relacionadas con exchanges de blockchain y criptomonedas, destacando “Veltrix Capital”.

Las víctimas reciben pruebas de codificación que parecen legítimas, pero contienen dependencias maliciosas ocultas diseñadas para comprometer sus sistemas al ejecutarse.

Lo que hace especialmente peligrosa esta campaña es su arquitectura modular, que permite a los actores de amenazas mantener operaciones incluso cuando partes de ella son descubiertas.

Esta nueva rama de la campaña de falsos reclutadores ha sido identificada por investigadores de ReversingLabs y la han nombrado así por el primer paquete malicioso descubierto en el repositorio npm.

Su análisis reveló que el paquete npm “bigmathutils” acumuló más de 10.000 descargas antes de que se lanzara una versión armada, demostrando la paciencia característica de operaciones patrocinadas por estados.

Mecanismo de infección y entrega de payloads en múltiples etapas

El proceso de infección comienza cuando los desarrolladores reciben tareas de entrevistas de trabajo a través de repositorios de GitHub controlados por las empresas falsas.

Estos repositorios contienen pruebas de codificación para puestos de DevOps o blockchain. Sin embargo, incrustadas en los archivos del proyecto hay dependencias que apuntan a paquetes comprometidos alojados en repositorios npm y PyPI.

Cuando las víctimas ejecutan o depuran el código de la entrevista, los gestores de paquetes instalan automáticamente estas dependencias maliciosas.

Los paquetes incluyen múltiples capas de ofuscación y payloads cifrados que descargan malware de segunda etapa desde servidores de comando y control.

El payload final es un RAT (troyano de acceso remoto) completamente funcional capaz de ejecutar comandos arbitrarios, subir archivos, listar procesos y buscar la extensión del navegador MetaMask, lo que indica interés en robar fondos de criptomonedas.

Se han identificado tres versiones del RAT, escritas en JavaScript, Python y Visual Basic Script. El malware se comunica con servidores C2 utilizando autenticación protegida por tokens, lo que impide a los investigadores de seguridad analizar las respuestas del servidor.

Este mecanismo de token ha sido observado en otras campañas norcoreanas, reforzando la atribución al Lazarus Group.

La presencia de marcas de tiempo en la zona horaria GMT+9 en los commits de git y la ingeniería social centrada en criptomonedas coinciden con los patrones establecidos de actores de amenazas norcoreanos.

Fuentes:
https://cybersecuritynews.com/lazarus-groups-graphalgo-fake-recruiter-campaign/