Operaciones de un gran grupo de hackers norcoreanos expuestas en una supuesta brecha de datos
- Se informa que un presunto hacker norcoreano del grupo APT Kimsuky sufrió una importante brecha de seguridad en junio de 2025.
- La filtración provino de una estación de trabajo de desarrollo Linux comprometida, que ejecutaba Deepin 20.9, y de un VPS público comprometido utilizado para spear-phishing.
- Los materiales expuestos revelan las puertas traseras, los marcos de phishing y las herramientas de reconocimiento del grupo.
Un gran grupo de hackers norcoreanos ha sido expuesto en una supuesta brecha de datos que involucra a dos sistemas comprometidos, donde un miembro de Kimsuky APT sufrió una supuesta filtración masiva.
Un miembro del presunto grupo de hackers norcoreano hacker Kimsuky Advanced Persistent Threat (APT) habría sufrido una importante brecha de datos, lo que resultó en la filtración de cientos de gigabytes de archivos y herramientas internas.
Grupo de hackers norcoreano expuesto en supuesta brecha de datos
Según los investigadores de seguridad de Slow Mist, los datos filtrados del hacker Kimsuky incluyen historiales de navegación, registros de campañas de phishing, manuales para backdoors personalizados y sistemas ofensivos como el backdoor del kernel TomCat, beacons de Cobalt Strike modificados, Ivanti RootRot y variantes de malware basadas en Android como Toybox.
Los informes sospechan que la brecha de datos ocurrió a principios de junio de 2025, y la rastrearon hasta dos sistemas comprometidos vinculados a un operador de Kimsuky que trabajaba bajo el alias “KIM”. Uno era una estación de trabajo de desarrollo Linux que ejecutaba Deepin 20.9, mientras que el otro era un VPS de acceso público. El sistema Linux probablemente sirvió como entorno de desarrollo de malware, mientras que el otro aloja material de spear-phishing, incluidos portales de inicio de sesión falsos y enlaces de comando y control.
Los hackers detrás de la brecha, llamándose a sí mismos “Saber” y “cyb0rg”, afirman que accedieron y exfiltraron el contenido de ambos sistemas antes de publicarlos en línea. Si bien algunos indicadores vinculan a “KIM” con la infraestructura conocida de Kimsuky, otras pistas lingüísticas y técnicas sugieren un posible vínculo chino, por lo que por ahora los orígenes de KIM permanecen sin resolver.
Kimsuky ha operado desde al menos 2012
Kimsuky tiene conexiones con la Oficina General de Reconocimiento de Corea del Norte desde que apareció por primera vez en 2012. El grupo ha especializado durante mucho tiempo en ciberespionaje dirigido a gobiernos, think tanks, contratistas de defensa y la academia.
A principios de 2025, campañas de Kimsuky como DEEP#DRIVE utilizaron cadenas de intrusión de múltiples etapas que comenzaban con archivos ZIP comprimidos que contenían archivos de acceso directo de Windows (LNK) disfrazados de documentos. Cuando las víctimas abren esos archivos, los archivos LNK lanzan comandos de PowerShell que recuperan cargas útiles maliciosas de servicios como Dropbox, utilizando documentos señuelo para parecer legítimos y evitar la detección.
Las campañas de Kimsuky de marzo y abril de 2025 introdujeron código VBScript y PowerShell desordenado incrustado en archivos ZIP maliciosos. Estos scripts ensamblaban comandos de forma encubierta, desplegando malware para recopilar pulsaciones de teclas, capturar datos del portapapeles y robar claves de billeteras de criptomonedas de los navegadores, incluidos Chrome, Edge, Firefox y Naver Whale.
Algunas operaciones cambiaron a utilizar archivos LNK maliciosos emparejados con VBScript que invocaba mshta.exe para ejecutar malware basado en DLL reflectante directamente en la memoria.
Alrededor del mismo período, Kimsuky comenzó a desplegar módulos personalizados de RDP Wrapper y malware proxy para habilitar el acceso remoto sigiloso. Los info-stealers como forceCopy se utilizaron para recopilar credenciales de archivos de configuración del navegador sin activar alertas estándar de acceso por contraseña.
El grupo también ha abusado de populares servicios de nube y alojamiento de código. En una campaña de spear-phishing en junio de 2025 dirigida a Corea del Sur, se utilizaron repositorios privados de GitHub para almacenar malware y datos exfiltrados. Estas campañas entregaron cargas útiles como XenoRAT mientras usaban Dropbox como punto de preparación para archivos robados. Este uso dual de plataformas confiables tanto para la entrega como para la exfiltración permitió a Kimsuky ocultar su actividad maliciosa dentro del tráfico de la red legítima.
Si estás leyendo esto, ya vas por delante. Mantente así con nuestro boletín.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
Hannah Collymore
Hannah es escritora y editora con casi una década de experiencia en la redacción de blogs y la cobertura de eventos en el ámbito de las criptomonedas. En Cryptopolitan, Hannah contribuye a la página de noticias, informando y analizando los últimos avances en DeFi, RWA, regulación de criptomonedas, inteligencia artificial y tecnologías de vanguardia. Se graduó de la Universidad de Arcadia con una licenciatura en Administración de Empresas.
