Los hackers estatales de Corea del Norte recurren a llamadas de Zoom con deepfakes para hackear empresas de criptomonedas

Los hackers estatales de Corea del Norte están apuntando a empresas de criptomonedas con varias piezas únicas de malware desplegadas junto con múltiples estafas, incluidas reuniones falsas de Zoom. 

Se ha observado que el actor de amenaza vinculado a Corea del Norte, conocido como UNC1069, apunta al sector de las criptomonedas para robar datos sensibles de sistemas Windows y macOS con el objetivo final de facilitar el robo financiero.

Se evaluó que UNC1069 estuvo activo desde abril de 2018. Tiene un historial de ejecución de campañas de ingeniería social para obtener ganancias financieras utilizando invitaciones a reuniones falsas y haciéndose pasar por inversores de empresas reputadas. 

La llamada falsa de Zoom despliega un ataque de malware en una empresa de criptomonedas

En su último informe, los investigadores de Google Mandiant detallaron su investigación sobre una intrusión que apuntaba a una empresa de tecnología financiera (FinTech) en la industria de las criptomonedas. Según los investigadores, la intrusión comenzó con una cuenta de Telegram comprometida perteneciente a un ejecutivo de la industria de las criptomonedas. 

Los atacantes utilizaron el perfil secuestrado para contactar a la víctima. Construyeron gradualmente confianza antes de enviar una invitación de Calendly para una reunión por video. El enlace de la reunión dirigió al objetivo a un dominio falso de Zoom alojado en una infraestructura bajo el control de los atacantes.

Durante la llamada, la víctima informó haber visto lo que parecía ser un video deepfake de un director ejecutivo de otra empresa de criptomonedas.

“Aunque Mandiant no pudo recuperar pruebas forenses para verificar de forma independiente el uso de modelos de IA en este caso específico, la farsa reportada es similar a un incidente previamente reportado públicamente con características similares, donde también se alegó el uso de deepfakes”, declaró el informe .

Los atacantes crearon la impresión de problemas de audio en la reunión para justificar el siguiente paso. Instruyeron a la víctima para que ejecutara comandos de solución de problemas en su dispositivo. Esos comandos, adaptados para sistemas macOS y Windows, iniciaron secretamente la cadena de infección. Como resultado, se activaron varios componentes de malware.

Mandiant identificó siete tipos distintos de malware utilizados durante el ataque. Las herramientas estaban diseñadas para acceder a la llave de claves y robar contraseñas, recuperar cookies del navegador e información de inicio de sesión, acceder a la información de la sesión de Telegram y obtener otros archivos privados.

Los investigadores evaluaron que el objetivo era doble: permitir el posible robo de criptomonedas y recopilar datos que pudieran respaldar futuros ataques de ingeniería social. La investigación reveló un volumen inusualmente grande de herramientas descargadas en un solo host. 

Los clústeres de estafas vinculados a la IA muestran una mayor eficiencia operativa

El incidente es parte de un patrón más amplio. Los actores vinculados a Corea del Norte desviaron más de 300 millones de dólares haciéndose pasar por figuras confiables de la industria durante reuniones fraudulentas de Zoom y Microsoft Teams.

La escala de la actividad durante todo el año fue aún más impactante. Como reportó Cryptopolitan, los grupos de amenazas vinculados a Corea del Norte fueron responsables de 2.020 millones de dólares en activos digitales robados en 2025, un aumento del 51 % con respecto al año anterior.

Chainalysis también reveló que los clústeres de estafas vinculados a proveedores de servicios de IA muestran una mayor eficiencia operativa que aquellos sin tales vínculos. Según la firma, esta tendencia sugiere un futuro en el que la IA se convierta en un componente estándar de la mayoría de las operaciones de estafa.

En un informe publicado el pasado noviembre, el Grupo de Inteligencia de Amenazas de Google (GTIG) señaló el uso del actor de amenazas de herramientas de inteligencia artificial generativa (IA), como Gemini. Las utilizan para producir materiales de señuelo y otros mensajes relacionados con criptomonedas como parte de sus esfuerzos para respaldar sus campañas de ingeniería social.

Desde al menos 2023, el grupo ha pasado de técnicas de phishing dirigido y la orientación hacia las finanzas tradicionales (TradFi) hacia la industria Web3, como exchanges centralizados (CEX), desarrolladores de software en instituciones financieras, empresas de alta tecnología e individuos en fondos de capital de riesgo.

Google.

También se ha observado que el grupo intenta abusar de Gemini para desarrollar código que robe activos de criptomonedas. También aprovechan imágenes y señuelos de video deepfake que imitan a personas de la industria de las criptomonedas en sus campañas para distribuir una puerta trasera llamada BIGMACHO a las víctimas haciéndola pasar como un kit de desarrollo de software (SDK) de Zoom.