Un ciberataque atribuido a un presunto grupo de amenazas vinculado a Corea del Norte revela cómo los atacantes pueden pasar del dispositivo personal de un desarrollador a la infraestructura cloud de una empresa, explotando flujos de trabajo DevOps para robar millones en criptomonedas.

Un ataque que comenzó en un dispositivo personal

La intrusión comenzó cuando un desarrollador fue engañado mediante ingeniería social para descargar un archivo comprimido que supuestamente formaba parte de un proyecto open-source. El archivo se abrió primero en el dispositivo personal del desarrollador y posteriormente se transfirió al equipo corporativo mediante AirDrop.

Al interactuar con el archivo dentro de un entorno de desarrollo asistido por inteligencia artificial, se ejecutó código Python malicioso que instaló un binario disfrazado como la herramienta de línea de comandos de Kubernetes. Este programa actuó como backdoor, conectándose a un dominio controlado por los atacantes y otorgándoles acceso remoto al sistema.

Movimiento desde el equipo comprometido hacia la nube

Una vez dentro de la red corporativa, los atacantes utilizaron credenciales disponibles y sesiones autenticadas para explorar el entorno de Google Cloud de la organización. Durante la fase de reconocimiento localizaron un bastion host, que normalmente se utiliza para gestionar el acceso a sistemas protegidos.

Los atacantes modificaron la política de autenticación multifactor (MFA) del bastion host para obtener acceso y continuar explorando el entorno cloud, incluyendo los pods de Kubernetes desplegados en la infraestructura.

Explotación de workflows DevOps y Kubernetes

Tras obtener acceso más profundo, el grupo manipuló la infraestructura DevOps. Modificaron configuraciones de despliegue en Kubernetes para ejecutar automáticamente un comando bash cada vez que se creaba un nuevo pod, lo que descargaba malware adicional y garantizaba persistencia.

También alteraron recursos vinculados al sistema CI/CD, introduciendo comandos que mostraban en los logs tokens de cuentas de servicio. Con esos tokens pudieron acceder a una cuenta con privilegios elevados, escalar privilegios y moverse lateralmente por la infraestructura.

En una fase posterior, utilizaron credenciales robadas para acceder a un pod de infraestructura en modo privilegiado, escapar del contenedor e instalar otro backdoor que les permitió mantener acceso persistente al entorno.

Manipulación de bases de datos y robo de criptomonedas

El objetivo final del ataque fueron los sistemas que gestionaban datos de clientes y activos financieros. Los atacantes obtuvieron credenciales de base de datos que estaban almacenadas de forma insegura en variables de entorno dentro de un pod de Kubernetes.

Con esas credenciales accedieron a la base de datos de producción mediante Cloud SQL Auth Proxy y ejecutaron comandos SQL para modificar configuraciones de cuentas de usuario, incluidos reseteos de contraseñas y cambios en los valores de MFA.

Con el control de varias cuentas de alto valor, los atacantes consiguieron retirar criptomonedas por valor de varios millones de dólares.

Una cadena de ataque compleja

Investigadores de Google Cloud atribuyen la operación con confianza moderada al grupo norcoreano UNC4899, también conocido como Jade Sleet, PUKCHONG, Slow Pisces o TraderTraitor.

El incidente demuestra una cadena de ataque compleja que combina ingeniería social, abuso de herramientas cloud legítimas y manipulación de infraestructuras DevOps. Este tipo de operaciones, descritas como “living-off-the-cloud”, utiliza funciones legítimas de la plataforma para persistir en el entorno y evadir detección.

Para reducir riesgos similares, los expertos recomiendan validación estricta de identidades, MFA resistente al phishing, monitorización de actividad en contenedores y una gestión más segura de credenciales en entornos cloud.

Fuente: The420