Hackers norcoreanos ahora ocultan malware para robar criptomonedas con blockchain

Los hackers norcoreanos ahora están utilizando un método basado en blockchain conocido como EtherHiding para entregar malware y facilitar sus operaciones de robo de criptomonedas. Según expertos, se descubrió que un hacker norcoreano utilizaba este método, donde los atacantes incrustan códigos como Payloads de JavaScript dentro de un contrato inteligente basado en blockchain.

Utilizando el método, los hackers convierten el libro mayor descentralizado en un comando y control (C2) resiliente. Según una publicación de blog publicada por el Grupo de Inteligencia de Amenazas de Google (GTIG), esta es la primera vez que ha observado a un actor de esta escala utilizando este método. Reclamó que usar EtherHiding es conveniente frente a los esfuerzos convencionales de eliminación y bloqueo. El grupo de inteligencia de amenazas mencionó que ha estado rastreando al actor de amenazas UNC5342 desde febrero de 2025, integrando EtherHiding en una campaña de ingeniería social en curso.

Hackers norcoreanos recurren a EtherHiding

Google mencionó que ha vinculado el uso de EtherHiding a una campaña de ingeniería social rastreada por Palo Alto Networks como Contagious Interview. El Contagious Interview fue llevado a cabo por actores norcoreanos. Según los investigadores de Socket, el grupo amplió sus operaciones con un nuevo cargador de malware, XORIndex. El cargador ha acumulado miles de descargas, siendo los objetivos buscadores de empleo y personas que se cree poseen activos digitales o credenciales sensibles.

En esta campaña, los hackers norcoreanos utilizan el malware JADESNOW para distribuir una variante en JavaScript de INVISIBLEFERRET, que se ha utilizado para cometer tantos robos de criptomonedas. La campaña tiene como objetivo a desarrolladores de las industrias de criptomonedas y tecnología, robando datos sensibles, activos digitales y obteniendo acceso a redes corporativas. También se centra en una táctica de ingeniería social que copia los procesos de reclutamiento legítimos utilizando reclutadores falsos y empresas fabricadas.

Se utilizan reclutadores falsos para atraer candidatos a plataformas como Telegram o Discord. Después de eso, el malware se entrega a sus sistemas y dispositivos a través de pruebas de codificación falsas o descargas de software disfrazadas de evaluaciones técnicas o correcciones de entrevistas. La campaña utiliza un proceso de infección de malware de múltiples etapas, que generalmente involucra malware como JADESNOW, INVISIBLEFERRET y BEAVERTAIL, para comprometer los dispositivos de la víctima. El malware afecta a sistemas Windows, Linux y macOS.

Los investigadores detallan los inconvenientes de EtherHiding

EtherHiding proporciona una mejor ventaja a los atacantes, con GTIG señalando que actúa como una amenaza particularmente difícil de mitigar. Un elemento central de EtherHiding que es preocupante es que es descentralizado por naturaleza. Esto significa que se almacena en una blockchain sin permisos y descentralizada, lo que dificulta que las fuerzas del orden o las empresas de ciberseguridad la eliminen porque no tiene un servidor central. La identidad del atacante también es difícil de rastrear debido a la naturaleza pseudónima de las transacciones de blockchain.

También es difícil eliminar el código malicioso en los contratos inteligentes implementados en la blockchain si no eres el propietario del contrato. El atacante que controla el contrato inteligente, en este caso, los hackers norcoreanos, también puede elegir actualizar la carga útil maliciosa en cualquier momento. Aunque los investigadores de seguridad pueden intentar advertir a la comunidad sobre un contrato malicioso etiquetándolo, esto no detiene a los hackers de llevar a cabo sus actividades maliciosas utilizando el contrato inteligente.

Además, los atacantes pueden recuperar su carga útil maliciosa utilizando llamadas de solo lectura que no dejan un historial de transacciones visible en la blockchain, lo que dificulta que los investigadores rastreen sus actividades en la blockchain. Según el informe de investigación de amenazas, EtherHiding representa un “cambio hacia el alojamiento a prueba de balas de próxima generación” donde las características más llamativas de la tecnología blockchain están siendo utilizadas por estafadores con fines maliciosos.