Norcoreanos han implementado una nueva técnica para ocultar malware dentro de las herramientas utilizadas diariamente por los desarrolladores de software. En lugar de recurrir a enlaces falsos o correos de phishing, ahora insertan código malicioso en los Git hooks, que son scripts automatizados que se ejecutan cada vez que un desarrollador interactúa con el código.

Los norcoreanos han encontrado una nueva forma de ocultar malware dentro de las herramientas en las que los desarrolladores de software confían cada día. En lugar de enviar correos electrónicos de phishing o plantar enlaces falsos, ahora están enterrando código malicioso en lo profundo de los Git hooks: pequeños scripts automatizados que se ejecutan automáticamente cada vez que un desarrollador interactúa con un repositorio de código.

La campaña es una evolución reciente de una operación de larga duración conocida como Contagious Interview, vinculada al Grupo Lazarus de Corea del Norte. Los atacantes se hacen pasar por reclutadores falsos en plataformas como LinkedIn y contactan a desarrolladores de software con promesas de una oportunidad laboral legítima.

A las víctimas se les entrega una evaluación de programación alojada en un repositorio de GitHub y, una vez que clonan ese repositorio, la trampa ya se ha puesto en marcha.

Los investigadores de OpenSourceMalware identificaron esta técnica y descubrieron que el script malicioso está escondido dentro del directorio .githooks del repositorio, específicamente como un hook de pre-commit. Esto significa que la carga útil se activa en el momento en que un desarrollador intenta hacer un commit del código, incluso antes de que se escriba el objeto commit.

La mayoría de los desarrolladores nunca cuestionan un repositorio recibido como parte de una prueba de trabajo, que es exactamente lo que hace que este ataque sea tan difícil de detectar a tiempo.

Git Hooks como un canal de entrega sigiloso

El malware está diseñado para funcionar en múltiples sistemas operativos a la vez. Una vez activado, el script del hook verifica qué sistema está ejecutando la víctima y luego contacta silenciosamente con un servidor remoto para descargar la carga útil adecuada.

Los usuarios de Windows reciben una versión, mientras que los usuarios de macOS y Linux reciben otra. El objetivo es el mismo en todas las plataformas: robar monederos de criptomonedas, recopilar credenciales confidenciales y establecer un acceso persistente a la máquina de la víctima en nombre del atacante.

Los Git hooks son una función integrada de Git, el sistema de control de versiones utilizado por prácticamente todos los desarrolladores del mundo. Son scripts que se ejecutan automáticamente en ciertos puntos del proceso de desarrollo. En un uso legítimo, los equipos los implementan para aplicar controles de calidad de código antes de que se realice un commit.

En este ataque, el Grupo Lazarus planta un hook de pre-commit malicioso dentro del repositorio entregado a los candidatos al puesto. El script es intencionadamente corto y parece completamente normal a simple vista. Cuando un desarrollador intenta realizar un cambio, el hook se ejecuta silenciosamente en segundo plano, identifica el sistema operativo y contacta con un servidor remoto en un dominio diseñado para parecer vinculado a una infraestructura de desarrollo legítima.

Ese servidor entrega una carga útil diferente según el sistema de la víctima. En macOS y Linux, sirve un shell script. En Windows, entrega una carga útil compatible con batch. Ambas versiones instalan implantes capaces de robar credenciales, vaciar monederos de criptomonedas y reportar a los operadores, todo mientras el commit parece completarse sin ningún problema.

Malware multiplataforma y persistencia

Lo que hace que esta campaña destaque es la limpieza con la que se ejecuta en múltiples plataformas. La mayoría del malware se construye pensando en un solo sistema operativo, pero este ataque entrega una carga útil adaptada a usuarios de macOS, Linux y Windows desde un único punto de entrada. Ese nivel de flexibilidad apunta a un grupo experimentado y con abundantes recursos que invierte fuertemente en mantener sus campañas activas.

Los implantes entregados en esta campaña pertenecen a familias de malware que el Grupo Lazarus ha utilizado en operaciones anteriores, incluidos BeaverTail e InvisibleFerret. Estas herramientas admiten el registro de pulsaciones de teclas (keylogging), acceso remoto, robo de datos del navegador y exfiltración de archivos. Los investigadores también han notado el uso de hooks de post-checkout, que se activan cada vez que un desarrollador cambia de rama, dándole al malware múltiples oportunidades de volver a ejecutarse sin ninguna acción visible del usuario.

Tú y los equipos de seguridad podéis tomar medidas concretas para reducir la exposición. Cualquier repositorio recibido a través de un proceso de trabajo o de una fuente desconocida debe ser tratado como hostil hasta que sea verificado. Inspeccionar el directorio .githooks antes de abrir un proyecto, ejecutar repositorios desconocidos dentro de máquinas virtuales aisladas sin credenciales guardadas y adoptar políticas de inspección de Git hooks en toda la organización son defensas significativas. Reportar patrones sospechosos de hooks de pre-commit a las plataformas de inteligencia de amenazas también ayuda a que la comunidad de seguridad en general responda mucho más rápido.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios están intencionadamente desactivados (por ejemplo, [.]) para evitar la resolución accidental o la creación de hipervínculos. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.