Una campaña recientemente identificada, vinculada a actores de amenazas patrocinados por el Estado norcoreano, está utilizando archivos de acceso directo de Windows, conocidos como archivos LNK, para lanzar ataques de phishing dirigidos contra organizaciones en Corea del Sur. Lo que hace que esta campaña sea alarmante es cómo los atacantes ocultan sus operaciones dentro de GitHub, una de las plataformas más confiables de internet

Una campaña recientemente identificada vinculada a actores de amenazas patrocinados por el estado de Corea del Norte está utilizando archivos de acceso directo de Windows, conocidos como archivos LNK, para lanzar ataques de phishing dirigidos contra organizaciones en Corea del Sur.

Lo que hace que esta campaña sea alarmante es cómo los atacantes ocultan sus operaciones dentro de GitHub, una de las plataformas más confiables en internet, convirtiéndola en un canal encubierto de Command and Control (C2). Dado que GitHub es ampliamente confiable y a menudo incluido en listas blancas en entornos corporativos, el tráfico malicioso enviado a través de él se mezcla sin problemas con la actividad web normal.

La campaña se remonta al menos a 2024, pero se ha vuelto más sofisticada con el tiempo. Las primeras versiones de los archivos LNK contenían menos ofuscación y conservaban metadatos que permitían a los investigadores de seguridad rastrear y conectar los ataques.

Esas variantes anteriores también estaban vinculadas a la distribución del malware XenoRAT. En los últimos meses, el actor de amenazas evolucionó su enfoque, incorporando funciones de decodificación directamente dentro de los argumentos de los archivos LNK y ocultando cargas útiles codificadas dentro de los archivos mismos.

Se muestran documentos PDF señuelo a las víctimas durante la infección, dando la impresión de que un archivo legítimo se abrió normalmente mientras un script malicioso se ejecuta silenciosamente en segundo plano.

Investigadores de FortiGuard Labs, liderados por la analista Cara Lin, identificaron esta campaña, señalando que los títulos de los PDF señuelo recopilados de muestras de ataque sugieren que el actor de amenazas está apuntando deliberadamente a empresas específicas en Corea del Sur como parte de un esfuerzo de vigilancia más amplio. Los patrones de metadatos encontrados en los archivos LNK, particularmente la convención de nombres "Documento Hangul", coinciden con tácticas utilizadas por grupos patrocinados por el estado de Corea del Norte, incluyendo Kimsuky, APT37 y Lazarus.

La campaña ha sido calificada como de alta gravedad, ya que los datos robados pueden alimentar ataques posteriores, con Microsoft Windows como la plataforma afectada.

El enfoque geográfico y la precisión técnica apuntan a una operación calculada y respaldada por recursos, en lugar de un crimen oportunista.

El actor de amenazas construyó cuidadosamente documentos señuelo en torno a temas relevantes para entornos empresariales coreanos, como propuestas financieras y acuerdos de asociación estratégica. Nombres de archivos como "TRAMS WINBOT AI Strategic Proposal.pdf.lnk" y "(CONFIDENTIAL) AIN x Mine Korea 2026.pdf.lnk" muestran con qué deliberación se elaboró cada señuelo para parecer auténtico y confiable al destinatario.

El propósito más amplio parece ser la vigilancia a largo plazo y la recolección de inteligencia. Al mantener el acceso a través de tareas programadas que se activan cada 30 minutos y usar repositorios privados de GitHub para almacenar registros robados y recibir nuevas instrucciones, el atacante monitorea los sistemas comprometidos de manera silenciosa con el tiempo. Dado que toda la comunicación se realiza a través de tráfico HTTPS cifrado hacia un dominio confiable, pasa rutinariamente desapercibida por las defensas perimetrales estándar sin levantar sospechas.

Mecanismo de infección en múltiples etapas

El ataque comienza cuando una víctima abre lo que parece un documento PDF normal. El archivo es en realidad un acceso directo LNK que desencadena silenciosamente un script de PowerShell.

Una función de decodificación basada en XOR dentro del archivo LNK extrae tanto el PDF señuelo como el script malicioso, mientras el documento señuelo distrae a la víctima.

Una vez activo, el script de PowerShell verifica el entorno en busca de máquinas virtuales, depuradores y herramientas forenses.

Si no se detecta ninguno, deja caer un archivo VBScript y configura una tarea programada que ejecuta la carga útil cada 30 minutos para mantener la persistencia.

El script luego recopila datos como la versión del sistema operativo, el tiempo de arranque y los procesos en ejecución, subiéndolos a un repositorio de GitHub controlado por el atacante.

En la etapa final, el malware obtiene nuevas instrucciones desde GitHub, mientras que un script de mantenimiento envía datos de red en vivo al atacante para monitoreo en tiempo real.

Tú y los equipos de seguridad deben tratar los archivos LNK y PDF no solicitados con precaución, independientemente de su apariencia. Los entornos deben ser monitoreados en busca de actividad inusual de PowerShell o VBScript, y cualquier conexión saliente inesperada a endpoints de la API de GitHub debe ser investigada de inmediato.