Alineados con Corea del Norte están atacando nuevamente a la comunidad de desarrolladores mediante la campaña UNK_DeadDrop. El método consiste en ocultar código malicioso dentro de repositorios de GitHub que parecen legítimos, utilizando ofertas de trabajo falsas y solicitudes de revisión de código para engañar a los programadores y lograr que ejecuten malware en sus propios equipos.

Alineados con Corea del Norte están atacando una vez más a la comunidad de desarrolladores, esta vez ocultando código malicioso dentro de repositorios de GitHub aparentemente legítimos.

La campaña, rastreada bajo el nombre UNK_DeadDrop, utiliza ofertas de trabajo falsas y solicitudes de revisión de código para atraer a los desarrolladores a clonar repositorios infectados y ejecutar malware en sus propias máquinas sin saberlo.

El actor de amenazas envió más de 250 correos electrónicos de phishing a personas de casi 100 organizaciones entre abril y mayo de 2026.

Las empresas de finanzas, criptomonedas, educación y tecnología estuvieron entre los objetivos principales, y la mayoría de las organizaciones afectadas se encuentran en los Estados Unidos.

Los atacantes utilizaron nombres de empresas falsas convincentes y dominios de remitentes profesionales para que sus acercamientos parecieran legítimos.

Analistas de Proofpoint dijeron en un informe compartido con Cyber Security News (CSN) que la actividad es probablemente llevada a cabo por un actor de amenazas alineado con Corea del Norte y está siendo rastreada como un grupo distinto.

Los investigadores notaron fuertes coincidencias con un grupo conocido anteriormente llamado Contagious Interview, aunque no se encontró un solapamiento directo de infraestructura en la telemetría de Proofpoint.

El malware desplegado a través de esta campaña es multiplataforma, capaz de ejecutarse en macOS, Linux y Windows. Aprovecha un framework de Go de código abierto llamado Overlord para mantener conexiones persistentes con un servidor de comando y control.

La cadena de infección permite el acceso remoto, el robo de credenciales, el vaciado de billeteras de criptomonedas y la exfiltración de datos del navegador.

Lo que hace que esta campaña sea especialmente peligrosa es cómo se mezcla naturalmente con el flujo de trabajo diario de un desarrollador.

Un desarrollador que reciba lo que parece ser un correo electrónico de asignación técnica legítimo probablemente clonaría un repositorio y lo abriría en su editor de código sin pensarlo dos veces, que es precisamente donde comienza el ataque.

Cómo se están utilizando los repositorios de GitHub como armas

El ataque comienza con un correo electrónico de phishing que apunta a un repositorio de GitHub o GitLab que imita un proyecto de programación real.

Los correos electrónicos parecen mensajes de reclutamiento laboral o solicitudes de revisión de código de empresas como Pulsynk, Trixauvex u Ondo Finance, todas las cuales son identidades suplantadas o entidades completamente fabricadas.

Cuando un desarrollador clona el repositorio y lo abre en Visual Studio Code o Cursor, un archivo oculto llamado tasks.json dentro de una carpeta oculta .vscode ejecuta automáticamente scripts maliciosos.

En macOS y Linux, el script instala una extensión maliciosa de VS Code (VSIX) disfrazada de un servicio de Google, y luego lanza la puerta trasera Overlord. En Windows, la carga útil se ejecuta enteramente dentro del propio proceso del editor, sin dejar ningún binario en el disco, lo que hace que sea más difícil de detectar.

El uso de la automatización de tareas de VS Code es una táctica inteligente ya que el comportamiento parece completamente normal dentro de un entorno de desarrollo. Cursor, en particular, ejecuta la tarea oculta sin solicitar confirmación al usuario, haciendo que el ataque sea totalmente silencioso en esa plataforma.

Robo de credenciales en todas las plataformas

Una vez que el malware establece un punto de apoyo, se desplaza hacia el robo de todo lo que tenga valor. En macOS, un binario secundario embebido llamado darwin-password-prompt presenta un diálogo de sistema falso pidiendo al usuario la contraseña de su dispositivo.

Después de que la contraseña es recolectada y validada, el malware modifica el acceso al llavero del navegador y extrae credenciales de Chrome, Brave, Edge, Opera y varios otros navegadores.

En Linux, el malware utiliza una herramienta de diálogo de sistema nativa llamada Zenity para crear un aviso falso similar y apunta a las credenciales de GNOME Keyring utilizando scripts de Python.

En Windows, sigue un camino más técnico que incluye evadir el Cifrado Vinculado a la Aplicación (App-Bound Encryption) en navegadores Chromium y extraer credenciales usando DPAPI. La variante de Windows apunta a 35 extensiones de billeteras de criptomonedas, 18 aplicaciones de billeteras independientes y cookies del navegador.

Todos los datos recolectados, incluyendo el contenido de las billeteras, claves de Almacenamiento Seguro, credenciales de inicio de sesión y cookies del navegador, se empaquetan en un archivo ZIP y se suben al servidor controlado por el atacante en 23.137.105[.]75:5173.

Los desarrolladores que manejen cuentas de criptomonedas de alto valor o que trabajen en el espacio de DeFi y blockchain enfrentan el mayor riesgo.

Se recomienda a los equipos de seguridad revisar cualquier repositorio orientado a desarrolladores en busca de carpetas .vscode ocultas y archivos tasks.json inesperados antes de abrirlos en cualquier IDE.

Las organizaciones también deberían restringir la configuración de ejecución automática de tareas de VS Code y monitorear las conexiones salientes en busca de tráfico inusual hacia endpoints de WebSocket desconocidos.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios han sido neutralizados intencionadamente (por ejemplo, [.]) para evitar la resolución accidental o la creación de hipervínculos. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.