Hackers norcoreanos de Konni dirigen ataques a ingenieros de blockchain con malware construido con IA

El grupo de hackers norcoreano Konni ahora está dirigiendo ataques a ingenieros de blockchain con malware generado por inteligencia artificial. Según los informes, el grupo de hackers está desplegando ahora el malware de PowerShell generado por IA, utilizándolo para dirigirse a desarrolladores e ingenieros en la industria del blockchain.

Se cree que el grupo de hackers norcoreano ha estado en operación desde al menos 2014 y está asociado con los clústeres de actividad APT37 y Kimusky. El grupo ha dirigido ataques a organizaciones distribuidas en Corea del Sur, Ucrania, Rusia y varios otros países europeos. Según la muestra de amenaza analizada por los investigadores de CheckPoint, la última campaña del grupo norcoreano está dirigida hacia la región del Pacífico Asiático.

El grupo norcoreano Konni despliega malware generado por IA

En el informe, los investigadores afirmaron que el malware fue enviado por usuarios que lo encontraron en Japón, India y Australia. El ataque comienza con la víctima recibiendo un enlace de Discord que entrega un archivo ZIP que contiene un señuelo en PDF y un archivo de acceso directo LNK malicioso. El LNK ejecuta un cargador de PowerShell incrustado que extrae un documento DOCX y un archivo CAB que contiene una puerta trasera de PowerShell, dos archivos por lotes y un ejecutable para eludir el Control de Cuentas de Usuario (UAC).

Después de que se lanza el archivo de acceso directo, el DOCX se abre y ejecuta un archivo por lotes incluido en el archivo de gabinete. El documento señuelo DOCX muestra que el hacker quiere comprometer el entorno de desarrollo, lo que podría proporcionarles acceso a activos sensibles, incluida la infraestructura, las credenciales de la API, el acceso a la billetera y, finalmente, las tenencias de activos digitales. El primer archivo por lotes crea un directorio de preparación para la puerta trasera y el segundo archivo por lotes.

Además, también crea una tarea programada por hora que imita la tarea de inicio de OneDrive. La tarea lee un script de PowerShell cifrado con XOR desde el disco y lo descifra para su ejecución en memoria. Después de completar todos estos pasos, se elimina a sí mismo para borrar todas las señales de una infección. La puerta trasera de PowerShell oculta intensamente su origen utilizando codificación de cadenas basada en aritmética, reconstrucción de cadenas en tiempo de ejecución y la ejecución de la lógica final mediante «Invoked-Expression» (Expresión Invocada).

Según los investigadores, el malware de PowerShell indica la presencia de un desarrollo asistido por IA en lugar de malware escrito tradicionalmente. La evidencia que muestra esto incluye la documentación clara y estructurada en la parte superior del script, lo cual es muy inusual en el desarrollo de malware. Además, tiene una estructura limpia y modular, y la presencia de un comentario «# <– tu UUID de proyecto permanente» en el archivo. CheckPoint señaló que esta frase muestra signos de código generado por un modelo de lenguaje grande (LLM) por parte de los hackers norcoreanos.

Los investigadores de CheckPoint dan detalles sobre el malware

Los investigadores explicaron que la frase también muestra que el modelo instruye a un usuario humano sobre cómo personalizar el valor del marcador de posición. Dijeron que este tipo de comentarios se ven comúnmente en scripts y tutoriales generados por IA. Antes de la ejecución, el malware realiza una verificación de hardware, software y actividad del usuario para asegurarse de que no se está ejecutando en entornos de análisis. Una vez determinado esto, genera un ID de host único. Después de eso, sigue un camino de acción especificado.

Una vez que la puerta trasera está completamente activada y ejecutándose en el dispositivo infectado, el malware se comunica periódicamente con el servidor de comando y control (C2) para enviar metadatos del host y consulta el servidor en intervalos aleatorios. Si el C2 contiene un código de PowerShell, se convierte en un bloque de script y lleva a cabo sus actividades utilizando trabajos en segundo plano. CheckPoint señaló que estos ataques pueden atribuirse al actor de amenaza norcoreano Konni basándose en el formato del cargador anterior y el nombre del señuelo.

Además, los investigadores afirmaron que, además de la superposición de nombres de script, hay otros elementos comunes en la estructura de la cadena de ejecución con ataques anteriores. Los investigadores también han publicado indicadores de compromiso asociados con esta campaña reciente para ayudar a los defensores a reconocer cuándo han sido atacados por la campaña norcoreana Konni, para que puedan proteger sus activos.