En el resumen de esta semana, CTI investiga dos campañas distintas en las que participan actores maliciosos norcoreanos que se hacen pasar por personas en busca de empleo y por reclutadores. A continuación, les ofrecemos información actualizada sobre el bot malicioso de Telegram conocido como «Telekopye» y sus operadores. Por último, CTI analiza cómo unos actores maliciosos vinculados a Corea del Norte han llevado a cabo recientemente dos campañas a gran escala dirigidas a macOS, entre las que se incluyen «RustBucket» y «KandyKorn».
1. Los piratas informáticos se hacen pasar por personas que buscan empleo y por responsables de selección de personal
Los investigadores están relacionando a los agentes maliciosos norcoreanos de (se abre en una nueva pestaña) con dos campañas en las que se hacen pasar tanto por personas que buscan empleo como por reclutadores para distribuir malware.
A continuación, analizamos con más detalle ambas campañas.
La primera campaña: Entrevista «Contagious»
En la primera campaña, denominada « » (Entrevista contagiosa) (se abre en una nueva pestaña), los autores de las amenazas se hacen pasar por empleadores y engañan a los desarrolladores de software para que instalen malware durante el proceso de selección. Palo Alto detectó actividades sospechosas relacionadas que se remontan ya a March 2023, y la infraestructura de la campaña se estableció ya en December 2022.
A juzgar por los nombres del malware asociado a esta campaña, los investigadores creen que el autor de la amenaza suele suplantar la identidad de empresas legítimas relacionadas con la inteligencia artificial, las criptomonedas y los NFT, o de agencias de selección de personal.
Tras establecer contacto, el autor de la amenaza invita a la víctima a participar en una entrevista en línea. Durante la entrevista, intentan convencer a la víctima de que descargue e instale un paquete NPM malicioso alojado en GitHub, que probablemente se presenta como un programa que debe revisarse o analizarse como parte de la entrevista. El paquete contiene código JavaScript malicioso e infectará el equipo de la víctima con un programa malicioso de tipo «puerta trasera». Este paquete malicioso de NPM contiene código JavaScript correspondiente a un malware recién descubierto denominado BeaverTail.
- El malware BeaverTail es a la vez un programa de robo de información y un cargador. Su objetivo son las carteras de criptomonedas y la información de las tarjetas de crédito almacenada en el navegador web. Además, recuperará y ejecutará la siguiente fase del malware, conocida como InvisibleFerret.
El malware requiere una intervención manual para ejecutarse debido a su dependencia del entorno Node.js, lo que le permite eludir la detección. Una vez instalado en Windows, Linux o macOS, recopilará información básica del sistema y buscará extensiones del navegador asociadas a carteras de criptomonedas.
- El malware InvisibleFerret se descarga y se ejecuta a través de los paquetes NPM de BeaverTail. Se trata de un malware multiplataforma escrito en Python que es capaz de recopilar huellas digitales, controlar el sistema de forma remota, registrar pulsaciones de teclas, extraer datos, sustraer información de los navegadores y descargar el cliente de AnyDesk.
La segunda campaña: Wagemole
En la segunda campaña, los autores de las amenazas buscan conseguir un empleo no autorizado en diversas organizaciones con el fin de obtener beneficios económicos y llevar a cabo actividades de espionaje. Se cree que esta campaña, denominada «Wagemole», se inició allá por el año August 2022.
Los investigadores centraron su atención en la infraestructura de GitHub relacionada con la campaña «Contagious Interview» y descubrieron un repositorio de GitHub totalmente distinto en otra cuenta. La cuenta contenía archivos que incluían currículos con identidades falsas, preguntas y respuestas habituales en entrevistas de trabajo, guiones para presentarse, copias de ofertas de empleo en el sector de las tecnologías de la información de empresas estadounidenses, una copia escaneada de una tarjeta de residencia permanente estadounidense sustraída y una lista de contactos de vendedores no identificados.
Cada currículum falso del repositorio de GitHub incluía un número de teléfono de EE. UU. distinto para contacto personal; algunos de ellos incluían enlaces a un perfil de LinkedIn o a contenido de GitHub que se actualiza periódicamente y cuenta con un amplio historial de actividad. Los solicitantes de empleo fraudulentos mantienen varias cuentas de correo electrónico, en páginas web para autónomos, en repositorios de código fuente y en plataformas de agencias de empleo.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
La campaña «Contagious Interview» sigue la misma línea que muchas otras llevadas a cabo por actores maliciosos vinculados a Corea del Norte, que se hacen pasar por reclutadores e intentan infectar con malware a quienes buscan empleo. Sin embargo, esta última campaña parece dar un giro a la situación, ya que los actores maliciosos intentan solicitar y aceptar ofertas de trabajo en diversas empresas. Esta campaña no tiene un enfoque tan técnico, sino que forma a los autores de amenazas en los aspectos básicos sobre cómo utilizar currículos falsos y responder a las preguntas de una entrevista para conseguir un empleo legítimo y llevar a cabo actividades relacionadas con el espionaje. Las identidades falsas se están convirtiendo cada vez más en un motivo de preocupación en plataformas como LinkedIn, debido a lo fácil que resulta crear una identidad falsa para trabajar a distancia.
2. El bot «Telekopye» de Telegram permite llevar a cabo estafas de phishing a gran escala
Se dispone de nuevos detalles sobre Telekopye (se abre en una nueva pestaña), un bot malicioso de Telegram que los autores de amenazas utilizan para crear correos electrónicos de phishing, sitios web, mensajes SMS y mucho más.
Los autores de amenazas que están detrás de la operación, cuyo nombre en clave es Neanderthals (se abre en una nueva pestaña), dirigen la operación como si se tratara de una empresa legítima, con una estructura jerárquica en la que los miembros asumen diversas funciones.
Cómo se incorporan los neandertales a un grupo
Telekopye recluta a nuevos «neandertales» mediante anuncios en diversos canales, incluidos foros clandestinos. Los anuncios son muy directos y señalan que el objetivo de la contratación es estafar a los usuarios de los mercados en línea.
Los aspirantes a neandertales deben rellenar un formulario de solicitud en el que indiquen dónde han conocido Telekopye y qué experiencia tienen. Una vez obtenida la autorización, el Neanderthal podrá empezar a utilizar Telekopye y unirse a dos canales: uno de ellos es un chat grupal en el que podrán comunicarse entre sí y consultar las normas y los manuales, y el otro es un canal independiente en el que se almacenan los registros de transacciones.
Tipos de estafas relacionadas con «Telekopye»
Existen tres tipos principales de estafas perpetradas por Telekopye: la estafa del vendedor, la estafa del comprador y la estafa del reembolso.
- Estafa del vendedor «»: En esta estafa, el «Neanderthal» se hace pasar por un vendedor e intenta engañar a los usuarios para que compren y paguen un artículo inexistente. El usuario recibe un enlace a una página web de phishing creada por Telekopye. El enlace imita una página de pago de la plataforma de comercio electrónico legítima, pero solicita los datos de acceso a la banca online, los datos de la tarjeta de crédito u otra información confidencial.
- Estafa del comprador «»: En este caso, el «neandertal» se hace pasar por el comprador. Mostrarán interés por un artículo que se está vendiendo y afirmarán que ya lo han pagado. El neandertal envía al vendedor correos electrónicos o mensajes de texto generados por Telekopye, que incluyen un enlace a una página de phishing en la que se afirma que es necesario hacer clic en él para que el vendedor reciba su dinero de la plataforma. El resto de la estafa es muy similar a la estafa del vendedor.
- Estafa de reembolso «»: El «neandertal» creará una situación en la que el vendedor espere recibir un reembolso. A continuación, enviarán un correo electrónico de phishing con un enlace a otra página web de phishing que tiene el mismo objetivo que las estafas anteriores. El estafador enviará este correo electrónico a vendedores con los que no se haya puesto en contacto anteriormente, esperando que se dejen llevar por la codicia y soliciten el reembolso, o bien combinará esta estrategia con el escenario de estafa al vendedor. En este último caso, cuando el comprador alega que no ha recibido el artículo que compró, el «neandertal» le enviará correos electrónicos de phishing con la excusa de un reembolso para estafarle por segunda vez.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
Tal y como señala ESET, es probable que las estafas en plataformas de comercio electrónico como ,y no desaparezcan a corto plazo. Esta operación se basa en gran medida en la capacidad de un «neandertal» para ganarse la confianza de su víctima antes de intentar comprar, vender o reembolsar artículos. Resulta interesante la estructura empresarial de esta operación, ya que solo buscan a personas que estén verdaderamente cualificadas para el puesto y que tengan la capacidad de ganarse la confianza de las víctimas en diversos idiomas.
3. Los actores maliciosos vinculados a la RPDC atacan el sistema operativo macOS en dos campañas
Los actores maliciosos vinculados a Corea del Norte han llevado a cabo dos grandes campañas de « » dirigidas a usuarios de macOS (se abre en una nueva pestaña) en lo que va de año, entre las que se incluyen RustBucket y KandyKorn. Al parecer, los autores de las amenazas están combinando y mezclando ahora elementos de ambas operaciones.
Acerca de RustBucket y KandyKorn
La campaña original «RustBucket», , apareció por primera vez en April 2023, utilizando un malware de segunda fase conocido como SwiftLoader. Este malware funcionaba, a simple vista, como un visor de PDF para un documento señuelo que se enviaba a las víctimas. Se encargaba de recuperar y ejecutar una fase adicional del malware escrito en Rust.
La campaña «KandyKorn», , fue una operación mucho más elaborada que se desarrolló en varias fases. El ataque se dirigió a los ingenieros especializados en blockchain de una plataforma de intercambio de criptomonedas y utilizó scripts de Python para introducir malware que se apoderó de la aplicación Discord instalada en el equipo del usuario. Además, instalaba un troyano de acceso remoto (RAT) de puerta trasera denominado KandyKorn.
Una investigación realizada a finales de October 2023 detallaba una campaña llevada a cabo por , unos actores maliciosos alineados con la RPDC (se abre en una nueva pestaña) , que consistía en un ataque de cinco fases. El ataque comenzó con una estrategia de ingeniería social destinada a engañar a los usuarios de Discord para que descargaran una aplicación maliciosa en Python camuflada como un bot de arbitraje de criptomonedas. Esta aplicación de Python se entregó como «Cross-Platform Bridges.zip» e incluía varios scripts de Python inofensivos.
Actividad reciente de RustBucket
A primera vista, la campaña «RustBucket» parece ser una campaña totalmente diferente. En un primer momento, se utilizó un applet de AppleScript de primera fase y un paquete de aplicación basado en Swift denominado «Internal PDF Viewer.app», que utilizaba archivos PDF creados específicamente para desbloquear el código y descargar una carga útil basada en Rust. Desde la primera campaña de RustBucket se han observado en el entorno real otras variantes de RustBucket, junto con varias variantes del stager basado en Swift, a las que se ha denominado colectivamente «SwiftLoader».
La relación de SwiftLoader con KandyKorn
Se han detectado múltiples versiones de SwiftLoader en el entorno real. Una de las versiones se distribuye en un archivo engañoso denominado «crypto-assets and their risks for financial stability[.]app[.]zip». La aplicación está firmada y certificada ante notario por Apple; el identificador del paquete es «com.EdoneViewer» y el ejecutable principal es «EdoneViewer». Esta versión de SwiftLoader presenta algunos puntos en común interesantes con la operación KandyKorn.
El análisis del ejecutable principal, EdoneViewer, revela que contiene una URL codificada de forma fija. El malware se conectará a un dominio específico y colocará un archivo ejecutable oculto en la ruta /users/shared/.pw. El script de Python «KandyKorn» se conectó con su siguiente fase, que consistía en malware alojado en un dominio similar, y depositó archivos ocultos en una ubicación similar. Del mismo modo, se descubrió una variante del RAT KandyKorn con el mismo nombre de archivo que un archivo SwiftLoader recuperado de su C2.
Comentarios de los analistas del equipo de Inteligencia sobre Amenazas Cibernéticas de Tanium
El análisis de Sentinel One establece vínculos entre dos campañas ya denunciadas anteriormente, llevadas a cabo por actores maliciosos alineados con Corea del Norte. Sus conclusiones revelan que es probable que dichos actores maliciosos estén compartiendo los «droppers» de RustBucket y las cargas útiles de KandyKorn. Aunque su análisis no revela muchas nuevas tácticas, técnicas y procedimientos (TTP), sí pone de manifiesto lo habitual que es que los autores de amenazas compartan malware, lo que les permite mejorar su nivel de madurez general.
¿Tiene alguna información sobre estas historias que desee compartir? Visite , el foro de debate de Tanium , para iniciar una conversación. Si desea ampliar información, consulte nuestros últimos resúmenes de inteligencia sobre ciberamenazas .
