En el resumen de esta semana, el equipo de CTI de Tanium analiza cómo, según se informa, los profesionales de TI norcoreanos están utilizando «deepfakes» en tiempo real para acceder a las organizaciones. A continuación, el equipo investiga a un intermediario de acceso inicial (IAB) conocido como ToyMaker. Por último, concluimos con una visión general de cómo varios grupos patrocinados por Estados están aprovechando la táctica de ingeniería social «ClickFix» (se abre en una nueva pestaña) para distribuir malware.
Los autores de amenazas utilizan «deepfakes» en tiempo real para obtener acceso
Según un nuevo informe de Palo Alto titulado « » (se abre en una nueva pestaña), se cree que los trabajadores de TI norcoreanos están utilizando tecnología de deepfake en tiempo real para infiltrarse en organizaciones a través de puestos de trabajo a distancia (se abre en una nueva pestaña).
Recientemente se han publicado varios informes sobre el aumento del número de candidatos que utilizan «deepfakes» en tiempo real durante las entrevistas de trabajo (se abre en una nueva pestaña). Los actores maliciosos norcoreanos, en concreto, han «demostrado de forma constante un gran interés por las técnicas de manipulación de la identidad».
Hace apenas dos años, Palo Alto informó de cómo agentes norcoreanos estaban creando identidades falsas con la ayuda de datos personales sustraídos. Estos informáticos norcoreanos han seguido perfeccionando sus tácticas, técnicas y procedimientos (TTP), incorporando ahora a su arsenal la tecnología de deepfake en tiempo real. Esto permite que un solo empleado de TI se presente a una entrevista de trabajo para un puesto utilizando varias identidades creadas mediante deepfake, lo que le ayuda a evitar ser identificado.
¿Es fácil crear una identidad mediante deepfake?
Un investigador de Palo Alto, sin experiencia previa en la manipulación de imágenes y con conocimientos limitados sobre deepfakes, decidió crear una identidad sintética para sus entrevistas de trabajo. Utilizando un ordenador de hace cinco años, el equipo creó un perfil en tan solo 70 minutos, lo que pone de manifiesto lo fácil que resultaría para los autores de amenazas, independientemente de su nivel de experiencia, hacer lo mismo.
Para ello, esta persona utilizó imágenes individuales generadas por una página web llamada thispersonnotexist[.]org. El sitio web «permite el uso de los rostros generados con fines personales y comerciales, así como el acceso a herramientas gratuitas para la creación de deepfakes».
A partir de estas imágenes, pudieron crear varias identidades. Lo único que tendría que hacer esta persona es cambiarse de ropa y cambiar la imagen de fondo para diferenciar claramente los distintos personajes.
Lo intentaron de nuevo, esta vez dedicándole más tiempo, utilizando una GPU más potente y aplicando una resolución más alta al mismo proceso exacto, lo que dio lugar a resultados aún más convincentes.
Cómo detectar los «deepfakes» de vídeo en tiempo real
Palo Alto ha señalado algunas deficiencias en los sistemas de deepfake que los defensores pueden aprovechar para identificar identidades falsas, entre ellas:
- Movimientos rápidos de la cabeza
- Se produce una visión obstruida cuando una mano u otro objeto se interpone delante de los ojos.
- Cambios bruscos en la iluminación
- Retrasos en el movimiento de la boca y en el habla
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Los investigadores de Palo Alto intentaron crear «deepfakes» en tiempo real utilizando únicamente herramientas de fácil acceso y hardware económico, con el fin de demostrar lo fácil que resulta para los malhechores crear identidades creíbles. La conclusión principal es que crear identidades falsas resulta sorprendentemente fácil.
La constante evolución de esta amenaza, unida a las mejoras continuas en la inteligencia artificial (se abre en una nueva pestaña) y la tecnología deepfake, hace que los ataques sean extremadamente difíciles de detectar. Tal y como señala Palo Alto, la estrecha colaboración entre el departamento de recursos humanos y el de seguridad es fundamental para identificar esta amenaza en constante evolución y protegerse frente a ella.
Es importante que vea los vídeos creados por Palo Alto (se abre en una nueva pestaña) que aparecen en el informe para comprender plenamente lo convincentes que pueden llegar a ser estos «deepfakes».
ToyMaker IAB colabora con bandas dedicadas a la doble extorsión
Cisco Talos ha compartido detalles (se abre en una nueva pestaña) sobre un «initial access broker» (IAB) denominado ToyMaker. Este agente malintencionado, motivado por motivos económicos, ataca sistemas vulnerables, instala una puerta trasera personalizada denominada LAGTOY e intenta extraer credenciales.
Cisco Talos observó que ToyMaker cedía este acceso a la banda de ransomware de doble extorsión Cactus.
¿Cómo funciona ToyMaker?
En el plazo de una semana desde la intrusión inicial, ToyMaker llevó a cabo actividades de reconocimiento, seguidas del robo de credenciales y la instalación de una puerta trasera. A continuación se produjo un parón en la actividad antes de que Cactus entrara en escena, utilizando las credenciales que ToyMaker había sustraído.
ToyMaker suele aprovechar vulnerabilidades conocidas para infiltrarse en una organización y comenzar a llevar a cabo actividades de reconocimiento. Tras ejecutar algunos comandos básicos de detección, el actor iniciará un listener SSH. A continuación, el sistema final puede recibir una conexión procedente de otro equipo infectado, lo que da lugar a la creación de un archivo binario denominado «sftp-server.exe», que es el módulo del servidor SFTP de OpenSSH. A continuación, este ejecutable puede conectarse a Internet para descargar el ejecutable de Magnet RAM Capture.
Magnet RAM Capture es una herramienta forense gratuita que se utiliza con frecuencia para obtener un volcado de memoria del equipo. ToyMaker puede entonces utilizar esto para extraer credenciales. A continuación, el actor utilizará su propio implante de shell inverso personalizado, LAGTOY, para establecer persistencia en el sistema.
¿Qué es la puerta trasera LAGTOY?
LAGTOY es un implante sencillo que utiliza ToyMaker y que también se conoce como «HOLERUN».
La puerta trasera se comunica periódicamente con el C2, en busca de órdenes que ejecutar en el dispositivo infectado. Contiene controles contra la depuración y está diseñado para ejecutarse como servicio con el nombre «WmiPrvSV». La dirección IP y el puerto C2 del malware están codificados de forma fija. LAGTOY utiliza una lógica basada en el tiempo para su ejecución, lo que se considera una característica exclusiva de esta familia.
Cactus y ToyMaker
Tras obtener acceso por parte de ToyMaker, Cactus comenzó a realizar análisis de red, a identificar los dispositivos finales y a borrar sus rastros. Las credenciales obtenidas por ToyMaker permitieron a Cactus acceder a varios sistemas y sustraer archivos.
Este actor también utilizó varias herramientas de administración remota para obtener acceso, creó shells inversos a través de OpenSSH, eliminó el acceso al archivo de la clave privada de SSH, creó nuevas cuentas de usuario, ejecutó comandos para desactivar herramientas de seguridad y utilizó binarios inyectados con Metasploit.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
En ocasiones, se puede pasar por alto a los actores de IAB porque no llevan a cabo cadenas de ataque complejas. El análisis y la cronología de Cisco Talos revelan el importante papel que desempeñan los IAB en el panorama de amenazas, ya que facilitan a otros actores la ejecución de sus planes.
Este ejemplo sirve para recordar lo importantes que pueden resultar las medidas de precaución de , como la aplicación de parches para vulnerabilidades (se abre en una nueva pestaña) y la rotación de las credenciales comprometidas.
Los piratas informáticos patrocinados por el Estado utilizan la táctica de ingeniería social denominada «ClickFix»
Según Proofpoint (se abre en una nueva pestaña), varios grupos patrocinados por Estados utilizan actualmente la táctica de ingeniería social «ClickFix» para distribuir malware. Esta técnica está «sustituyendo las fases de instalación y ejecución en las cadenas de infección existentes» para estos actores.
Otros ataques recientes de ClickFix que conviene conocer:
- Silk Typhoon, notas de rescate falsas y ClickFix (se abre en una nueva pestaña)
- Vortax propaga un malware de robo de información; un malware para Linux utiliza emojis para ejecutar comandos (se abre en una nueva pestaña)
Proofpoint observó que varios actores estatales de Corea del Norte, Irán y Rusia utilizaron esta técnica entre finales de 2024 y principios de 2025.
TA427 , también conocido como Kimsuky (Corea del Norte)
Proofpoint detectó en enero a este actor malicioso norcoreano, también conocido como Kimsuky, y February 2025 , que tenía como objetivo a organizaciones del sector de los centros de estudios. Estos ataques se valieron de una cadena de infección basada en la técnica «ClickFix», que el grupo no había utilizado anteriormente.
El grupo inició los ataques enviando correos electrónicos a las víctimas y entablando una conversación para ganarse su confianza. A continuación, el actor dirigió a la víctima a una página web en la que se le pidió que copiara, pegara y ejecutara un comando de PowerShell que, supuestamente, registraría su dispositivo como parte del engaño. Proofpoint señala que una cadena no logró recibir cargas útiles adicionales, mientras que en otro caso similar del ataque se utilizó una cadena de varias etapas para ejecutar varios scripts, lo que dio lugar a QuasarRAT (se abre en una nueva pestaña).
TA450 , también conocido como MuddyWater (Irán)
En el informe « November 2024», Proofpoint observó que este actor, también conocido como MuddyWater (se abre en una nueva pestaña), utilizaba ClickFix.
El ataque « » comenzó con un correo electrónico de phishing (se abre en una nueva pestaña) que se hacía pasar por una actualización de seguridad de Microsoft. En última instancia, esto indujo a la víctima a ejecutar PowerShell con privilegios de administrador, copiando, pegando y ejecutando un comando incluido en el correo electrónico.
TA422 y UNK_RemoteRogue (Rusia)
En el informe « December 2024», Proofpoint observó que un actor ruso enviaba mensajes a dos organizaciones sin asunto, en los que probablemente se utilizaban servidores Zimbra comprometidos como infraestructura.
Estos correos electrónicos contenían un enlace que se hacía pasar por Microsoft Office e invitaban al destinatario a visitar el sitio web. Además, la página web simulaba ser un documento de Word y le indicaba a la víctima que copiara y ejecutara el código que contenía. Esta página web fue un paso más allá al incluir un enlace a YouTube en el que se mostraba cómo ejecutar PowerShell.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
La técnica ClickFix es hoy en día muy habitual entre los ciberdelincuentes, por lo que resulta especialmente destacable el descubrimiento por parte de Proofpoint de que también la utilizan actores estatales.
Queda por ver si más actores estatales comenzarán a adoptar esta técnica, pero el hecho de que dichos actores solo la hayan utilizado una vez podría indicar que se trata de una especie de periodo de prueba.
También cabe señalar que la técnica ClickFix está ganando cada vez más popularidad con el paso de los meses, por lo que es importante informar a los usuarios sobre algunos de los indicios reveladores.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium (se abre en una nueva pestaña),y para iniciar una conversación.
Si desea ampliar información, le recomendamos que consulte nuestros últimos resúmenes de inteligencia sobre amenazas cibernéticas de : (se abre en una nueva pestaña),y .
