Se ha detectado una nueva campaña de phishing vinculada a Corea del Norte llamada UNK_DeadDrop, que utiliza ofertas de empleo y revisiones de código falsas para atacar a desarrolladores. Los atacantes engañan a las víctimas para que clonen repositorios de GitHub con malware compatible con Windows, macOS y Linux. El objetivo final es robar credenciales de navegadores y billeteras de criptomonedas mediante la instalación de extensiones maliciosas en editores de código.

Hay otra probable estafa vinculada a Corea del Norte que afecta a desarrolladores y a sus empleadores, mientras robando credenciales y criptomonedas, y esta ni siquiera implica la infiltración de trabajadores de TI en gigantes tecnológicos de alto perfil.

Un grupo de phishing previamente desconocido, sospechoso de tener vínculos con la RPDC, envió más de 250 correos electrónicos a personas que trabajan en casi 100 organizaciones, la mayoría basadas en los EE. UU., durante seis semanas en abril y mayo. Según los investigadores de seguridad, se trata de otro intento de robo digital diseñado para robar carteras de criptomonedas y credenciales de desarrolladores.

Los investigadores de amenazas de Proofpoint detectaron esta campaña y rastrearon el robo digital como UNK_DeadDrop.

Al igual que expediciones de phishing anteriores de los norcoreanos, incluida la campaña Contagious Interview, esta utiliza señuelos de reclutamiento de desarrolladores o revisión de código para dirigirse a las víctimas, principalmente en tecnología, educación, servicios empresariales y servicios financieros, para finalmente robar credenciales y criptomonedas.

En otra táctica común vista en actividades de robo de credenciales vinculadas a la RPDC, los señuelos intentan enviar a las víctimas a repositorios de GitHub controlados por el atacante que albergan scripts maliciosos que ejecutan malware multiplataforma en máquinas macOS, Linux y Windows.

“Sin embargo, hay varias diferencias entre los conjuntos de actividades, como el cambio en la ingeniería social, pasando de organizar entrevistas falsas a enfoques de ofertas de trabajo no solicitadas o revisiones de código, así como el paso de plataformas de entrega como LinkedIn al correo electrónico”, dijeron los investigadores Saher Naumaan y Carlos Rubio en un blog el lunes, citando otras diferencias entre UNK_DeadDrop y Contagious Interview en este artículo.

“Basándose en el uso del correo electrónico para el acceso inicial, el alto volumen de correos, la industrialización y la escala de creación de repositorios, un nuevo payload autónomo y una infraestructura distinta de las observaciones previas de Proofpoint sobre las campañas de Contagious Interview, Proofpoint Threat Research continúa rastreando la actividad de UNK_DeadDrop como un clúster independiente”, escribieron los investigadores.

Se busca ingeniero full-stack

Los ataques comienzan con un correo electrónico que parece provenir de una empresa real, con ofertas de trabajo para roles de desarrollador, incluyendo puestos de “Ingeniero Full-Stack” o “Desarrollador Líder de Agentes”. Proofpoint detectó a los estafadores suplantando a un puñado de empresas para enviar estos correos desde dominios de remitentes propiedad del atacante, incluyendo:

• * Ondo Finance: una plataforma de finanzas descentralizadas (DeFi)
• * Empower Pharmacy: una empresa farmacéutica
• * NXLog: una herramienta de recolección y centralización de registros
• * OnePlan: una plataforma de gestión de cartera estratégica y trabajo
• * Hypen Connect: una agencia de talento de Web3 e IA
• * Valon: un proveedor de servicios hipotecarios
• * Nourish: una empresa de telesalud

Los correos contienen enlaces a repositorios de GitHub disfrazados de tareas de programación o proyectos relacionados con criptomonedas, como parte del proceso falso de solicitud de empleo. Todos los correos instruían al objetivo a clonar el repositorio y abrirlo en un editor de código como VS Code o Cursor.

El informe de Proofpoint enumera los 10 repositorios, todos centrados en cuatro temas: plataformas de criptomonedas, archivos de exploits, pruebas de Foundry y pagos de IA, y todos alojados por diferentes cuentas de GitHub.

En mayo, los atacantes cambiaron de táctica y comenzaron a enviar a las víctimas solicitudes de revisiones por pares en proyectos de código abierto, con una posible oferta de trabajo basada en las correcciones. Estos correos pretendían provenir de empresas de trading o predicción de criptomonedas, incluidas Pulsynk y Trixauvex.

Otra campaña de UNK_DeadDrop a finales de mayo se dirigió a empresas de finanzas y tecnología, solicitando a los destinatarios que probaran una bóveda ERC-4626 en Foundry, un kit de herramientas para el desarrollo de Ethereum y contratos inteligentes.

En todos estos casos, cuando la víctima abre lo que cree que es una carpeta de repositorio legítima en un entorno de desarrollo integrado, se ejecuta silenciosamente una tarea preconfigurada que activa un cargador específico de la plataforma que decodifica payloads embebidos en cualquier sistema que utilice el desarrollador, funcionando en máquinas Linux, macOS y Windows.

El cargador instala una extensión maliciosa de VS Code (VSIX) disfrazada de un servicio legítimo de Google. Cada vez que el usuario abre el editor de código en macOS o Linux, la extensión VSIX se activa y relanza la cadena de infección si aún no se está ejecutando. Sin embargo, el mecanismo de persistencia no funciona en máquinas Windows.

Después de instalar VSIX, la cadena de infección varía según la plataforma. Los ataques en Linux y macOS utilizan un binario nativo de Go que se conecta a la infraestructura de comando y control (C2) como un troyano de acceso remoto (RAT) persistente. La cadena de Windows, sin embargo, ejecuta un pipeline de Node.js dentro del proceso Electron del editor.

Ambos utilizan la misma infraestructura C2 y puntos finales de exfiltración.

Puertas traseras en linux y macos

Los binarios de Linux y macOS se basan en el framework de código abierto Overlord C2; esta es una herramienta legítima de red-team que automatiza la configuración y gestión de infraestructura encubierta y orquestra actividades de post-explotación. Esto, por supuesto, también la convierte en una herramienta muy útil para los atacantes.

Para esta campaña, los norcoreanos añadieron tres módulos personalizados: browserlogin (robo de credenciales de Chrome y Firefox), companywallet (robador y exfiltración de carteras cripto) y cleanup (eliminación antiforense de artefactos del espacio de trabajo).

En macOS, Overlord primero recopila datos de extensiones de carteras, artefactos de perfiles de navegador y directorios de carteras independientes, comprimiéndolos en un ZIP y subiéndolos al servidor C2. Cinco minutos después, el malware pasa al robo de credenciales, utilizando un segundo binario Mach-O embebido que muestra un diálogo de sistema falso y solicita al usuario que introduzca su contraseña.

El proceso Overlord valida las credenciales y, asumiendo que son legítimas, el malware modifica las listas de control de acceso del llavero en Chrome, Brave, Edge, Opera, Vivaldi, Arc, Yandex y otros navegadores basados en Chromium, antes de extraer las claves de Safe Storage y enviar todo el botín al servidor controlado por el atacante.

La puerta trasera también se relanza como root, utilizando la contraseña robada.

El malware de Linux sigue un patrón similar, recolectando primero datos relacionados con carteras y enviándolos vía ZIP al servidor C2 antes de pasar al robo de credenciales. Sin embargo, utiliza Zenity, una herramienta de diálogo GTK estándar, para crear un aviso y recopilar las credenciales de la víctima.

Esta puerta trasera intenta robar contraseñas de GNOME Keyring iniciando procesos de Python 3 para cada navegador y, finalmente, se relanza como root usando una contraseña robada.

Ataques en Windows

Los ataques en Windows se ejecutan enteramente como JavaScript dentro del proceso Electron del editor, que aparece como Code.exe en el Administrador de tareas. El malware primero roba información de carteras, dirigiéndose a 35 IDs de extensiones de cartera (MetaMask, Phantom, Rabby, Keplr y otras), 18 aplicaciones de carteras independientes (Exodus, Electrum, Ledger Live, Monero, Solana CLI, Bitcoin y otras) y perfiles de Firefox.

A continuación, instala Python y ejecuta un robador (detect_malware.py) para cada perfil de navegador que recolecta una gran cantidad de credenciales en navegadores Chromium y Firefox, roba cookies de Chrome/Edge/Brave y utiliza COM Elevation Moniker para acceder a credenciales protegidas por App-Bound Encryption.

También intenta leer bases de datos bloqueadas utilizando cinco métodos en cascada y, finalmente, sube todos los secretos al mismo punto final antes de finalizar.

“La actividad de UNK_DeadDrop sugiere que las operaciones alineadas con Corea del Norte dirigidas a desarrolladores para obtener beneficios económicos están madurando y evolucionando”, escribieron Naumaan y Rubio. “El cambio de la ingeniería social activa a través de plataformas de redes sociales para realizar entrevistas falsas hacia grandes campañas de correos de phishing con temática de reclutamiento que distribuyen enlaces a repositorios maliciosos podría indicar un actor industrializando y escalando sus operaciones”.

Fuente:
TheRegister