El FBI y el Departamento de Justicia de EE. UU. desmantelaron operaciones de hackers norcoreanos que robaron millones en criptomonedas mediante esquemas de ingeniería social. Utilizaron deepfakes y videollamadas falsas para engañar a ejecutivos de Web3 y desarrolladores, instalando malware en sus equipos. Estos fondos robados se destinan presuntamente a financiar el programa de armas ilícitas de Pyongyang.



El Buró Federal de Investigaciones (FBI) de los EE. UU. ha establecido que actores de amenazas vinculados a la República Popular Democrática de Corea (RPDC, también conocida como Corea del Norte) han robado más de 400 millones de dólares en criptomonedas como parte de un esquema de ingeniería social llamado FaceStealer en los últimos 18 meses.

Como parte de un conjunto de acciones coordinadas anunciadas por el gobierno de los EE. UU., se ha incautado la infraestructura basada en la nube utilizada para llevar a cabo esta campaña "difícil de detectar" aquí.

En paralelo, el Departamento de Justicia de los EE. UU. (DoJ) ha anunciado la incautación y retención autorizada por el tribunal de más de 1.200 millones de dólares en criptomonedas robadas recientemente por los actores TraderTraitor vinculados a Corea del Norte tras el hackeo del exchange de criptomonedas Binance. El DoJ añadió que los activos digitales saqueados se utilizan para financiar el programa ilegal de armas de Pyongyang.

"El régimen norcoreano depende de los ingresos procedentes del robo de criptomonedas a gran escala para financiar su programa ilegal de armas, robando miles de millones de dólares en los últimos años", afirmó Brett Leatherman, Director de Operaciones de la Rama Cibernética del FBI, en un comunicado.

"Los ciberactores norcoreanos han utilizado el esquema FaceStealer para atacar agresivamente a personas en los sectores de las criptomonedas y la Web3 mediante tácticas engañosas de ingeniería social, lo que ha resultado en el robo de más de 400 millones de dólares en los últimos 18 meses".

Según el Departamento de Justicia, FaceStealer se basa en videos grabados subrepticiamente y deepfakes para facilitar el robo de criptomonedas. Algunos aspectos de la actividad coinciden con una campaña documentada por Kaspersky bajo el nombre de GhostCall en octubre de 2025.

La actividad está vinculada a un prolífico grupo de amenazas con motivaciones financieras vinculado a Corea del Norte, rastreado como BlueNoroff, también conocido por los criptónimos APT38, CageyChameleon, CryptoCore, DangerousPassword, Nickel Gladstone, Sapphire Sleet, Stardust Chollima y UNC1069.

Cómo funciona la campaña

La campaña consiste en atraer a las víctimas con invitaciones a reuniones de video enviadas desde cuentas robadas de víctimas anteriores. Las personas que se unen a la reunión son grabadas en su flujo de video, mientras que simultáneamente se les muestra un video de webcam auténtico y pregrabado de una víctima anterior (conocida por el objetivo) para generar confianza.

"Los hackers norcoreanos también utilizan la superinteligencia (SI) para desarrollar videos deepfake de personas influyentes y conocidas, a menudo en las industrias de criptomonedas y web3, lo que hace que el esquema FaceStealer sea aún más efectivo", señaló el DoJ. "Nuevamente, utilizan los videos deepfake en las reuniones con los objetivos para ganarse su confianza".

A los pocos segundos de iniciar la reunión, se presenta a la víctima un falso error técnico, alegando que no pueden oírla, y se le proporciona un enlace para solucionar el problema inexistente. La solución es un señuelo estilo ClickFix diseñado para instalar malware en la estación de trabajo de la víctima y robar criptomonedas, así como abusar de los privilegios del objetivo en otras infraestructuras informáticas.

En un informe detallado compartido en julio de 2026, JUMPSEC reveló cómo la operación de ingeniería social se construye sobre un kit de phishing diseñado para suplantar plataformas de videoconferencia como Zoom y Microsoft Teams. La empresa de ciberseguridad ha caracterizado a FaceStealer como una plataforma de adquisición de víctimas que utiliza contactos de confianza comprometidos para alimentar una cadena de ataque que se propaga automáticamente a través de Telegram.

Esto incluye el secuestro de cuentas de redes sociales y comunicaciones como Telegram, LinkedIn, Slack y Discord durante periodos prolongados, accediendo luego a la lista de contactos de la víctima para atacar sus círculos personales y profesionales.

El ataque completo aquí se desarrolla de la siguiente manera:

- Comprometer a una víctima: Recolección de billeteras de criptomonedas, frases semilla y otros accesos valiosos; secuestro de su cuenta de Telegram o apps de comunicación; acceso a contactos e historiales de chat; y grabación secreta durante la videollamada.
- Explotar la cuenta de Telegram: El atacante suplanta a la víctima y envía mensajes personalizados a otros contactos proponiendo una reunión de Zoom o Teams bajo el pretexto de una oportunidad de inversión.
- Configurar la reunión: Si el objetivo muestra interés, el atacante envía una invitación de Calendly por Telegram. Poco antes de la cita, se envía un enlace typosquatted que imita URLs de Zoom ("uu01webzoom[.]us") o Teams ("teams.livemeet[.]us").
- Explotar videos grabados: Cuando el objetivo se une, el atacante reproduce el video grabado del contacto de confianza y otros videos (grabados o deepfakes) para dar la impresión de que hay varios participantes. Además, usan avatares estáticos generados con OpenAI ChatGPT.
- Engañar al objetivo para que se infecte: El atacante afirma que hay un problema de audio o error técnico y urge a hacer clic en un enlace para "aplicar una actualización". También puede pedir ejecutar un script o pegar código malicioso en la terminal. Esto despliega malware que captura datos sensibles, convirtiendo al objetivo en la siguiente víctima.
- Repetir el ciclo: Con la nueva víctima comprometida, el atacante toma control de su dispositivo y cuentas para propagar el ataque.

Los ataques de BlueNoroff se centran específicamente en personas que trabajan en las industrias de criptomonedas y Web3, así como en desarrolladores de software de código abierto.

El objetivo es obtener acceso a los dispositivos de los desarrolladores y a sus cuentas de repositorios de software para facilitar ataques a la cadena de suministro de software. Notablemente, el esquema FaceStealer se utilizó para atacar al mantenedor del popular paquete npm Axios a principios de año para distribuir una versión troyanizada con un troyano de acceso remoto (RAT) multiplataforma.

El FBI ha incautado más de 900 grabaciones de webcam de víctimas. La agencia señaló estar al tanto de otros intentos de los hackers norcoreanos para atacar a desarrolladores y librerías de software con un volumen significativo de descargas.

En un informe de abril de 2026, Arctic Wolf señaló que la campaña había afectado a más de 400 víctimas en más de 20 países, concentradas principalmente en EE. UU., Singapur, Reino Unido, Hong Kong, Corea del Sur y EAU.

aquí. "Solo los CEOs y fundadores representan el 45% del conjunto de objetivos. Esto subraya el enfoque operativo de BlueNoroff: personas con acceso a activos de criptomonedas, infraestructura de billeteras, plataformas de exchange o autoridad en la toma de decisiones de inversión".

La actividad se ha expandido a 677 objetivos en 58 países, donde más del 80% son fundadores y ejecutivos de alto nivel. Además de nuevos temas de señuelo, como una actualización falsa de Chrome PDF Viewer, la campaña incorpora IA generativa de ChatGPT, Google, SpaceXAI Grok y Wondershare AI Content Generator (AIGC) para crear arte, avatares y videos sintéticos convincentes.

"El reconocimiento se ha ampliado y vuelto más deliberado", añadió la empresa aquí. "El material de señuelo se extrae no solo de fotos de perfil, sino de entrevistas en YouTube y charlas en conferencias grabadas. Esto les permite capturar la apariencia y voz de una persona específica —un fundador o un CEO— y crear metraje de reuniones falsas sin tener que comprometer directamente al objetivo".

De facestealer a contagious interview

Vale la pena enfatizar que la campaña FaceStealer es distinta de ClickFake Interview, una iteración de Contagious Interview que también emplea tácticas estilo ClickFix para ejecutar malware como parte de campañas temáticas de reclutamiento.

Al igual que FaceStealer, esto implica que los atacantes se acerquen a objetivos potenciales haciéndose pasar por reclutadores en plataformas como LinkedIn y compartiendo una "evaluación técnica" diseñada para ejecutar malware. En una publicación de LinkedIn, Alina Krasavina, gerente de ingeniería en Delivery Hero, detalló cómo fue atacada en octubre de 2026 por dos falsos reclutadores el mismo día, con 13 minutos de diferencia.

"El primero envió una 'evaluación técnica': un proyecto Next.js de 113 archivos. Al final de next.config.js, después de 204 espacios, había una puerta trasera", dijo Krasavina aquí. "El segundo no envió ningún ZIP. En una videollamada, un 'miembro del personal técnico' me pidió que compartiera toda mi pantalla, descargara un repo y lo ejecutara. Cuando dije que no, me dijo que era 'un requisito para continuar'. Después de la llamada, escribí a la reclutadora pidiendo otro formato de entrevista. Un minuto después me bloqueó".

"Los dos ataques fueron construidos de formas opuestas. El primero puso el esfuerzo en el código y casi nada en el reclutador. El segundo lo puso en las personas, y ni siquiera llegué a ver su código".

Según un aviso conjunto de agencias de ciberseguridad de Japón, EE. UU., Australia y Alemania a finales de septiembre de 2026, se estima que esta campaña prolongada ha comprometido al menos 30,000 dispositivos en 100 países.

Los ataques experimentan con múltiples métodos de entrega para convencer a las víctimas de ejecutar código malicioso:

- Incrustar malware en pruebas de código, repositorios o paquetes que se pide a las víctimas ejecutar como parte de un proceso de evaluación.
- Usar archivos de configuración tasks.json de Microsoft Visual Studio Code (VS Code) para activar automáticamente la ejecución de código malicioso al abrir el proyecto.
- Usar scripts .githooks/pre-commit y post-checkout para disparar el código malicioso aquí en el primer commit o cambio de rama.
- Usar instaladores troyanizados para apps de utilidad de macOS para entregar OtterCookie mediante un descargador de scripts shell aquí.

El mes pasado, Sophos reveló que el dispositivo macOS corporativo de un empleado fue comprometido a mediados de septiembre de 2026 después de clonar un repositorio de código público presentado como una tarea de entrevista de trabajo y abrirlo como un espacio de trabajo en VS Code.

"El repositorio contenía un archivo de configuración de espacio de trabajo de VS Code armado que reemplazaba el perfil de la terminal integrada del editor", afirmó la empresa aquí. "Cuando se abrió una terminal en el espacio de trabajo, el perfil modificado descargó y ejecutó silenciosamente una carga útil de varias etapas".

La carga útil en cuestión es BeaverTail, un cargador de JavaScript utilizado para entregar una puerta trasera de Python llamada InvisibleFerret. Ambas familias de malware están atribuidas a Contagious Interview.

Sophos indicó que el malware se ejecutó en la memoria del dispositivo durante unas 26 horas, desde su ejecución el 14 de septiembre de 2026 hasta que se reinició un día después. El incidente no afectó a ninguno de sus productos, servicios, datos de clientes o sistemas.

Además, una investigación reciente de JFrog ha descubierto aquí que los actores de amenazas vinculados a la campaña incluso crearon una empresa señuelo llamada AccuraSoftHire, completa con un sitio de carreras, testimonios de clientes, una página de LinkedIn, anuncios de empleo en portales principales y reclutadores verificados para engañar a los candidatos.

"Nuestra investigación muestra que estos señuelos están diseñados para pasar los controles en los que la gente confía: un sitio web profesional, una página de LinkedIn y reclutadores con la insignia de verificado de LinkedIn", afirmó Guy Korolevski, investigador senior de seguridad de JFrog Security Research.

"No se puede esperar que los desarrolladores u otros empleados detecten esto por sí mismos, por lo que los empleadores deben establecer las reglas. Las tareas de entrevista con descargas solo deben ejecutarse en una máquina virtual desechable, nunca en una laptop de trabajo. Los equipos de seguridad también deben advertir a los empleados sobre la descarga de archivos desconocidos, incluso de fuentes que crean confiar".

Fuente:
THN