- Los operativos de TI norcoreanos se hacen pasar por reclutadores en Upwork, GitHub y Freelancer para secuestrar cuentas de freelancers verificadas.
- El esquema utiliza herramientas de acceso remoto y acuerdos de reparto de beneficios, lo que permite a los hackers evadir las sanciones y ocultar sus identidades.
- Los investigadores descubrieron fotos editadas con IA, documentos en coreano y flujos de trabajo organizados que apuntan a una operación coordinada respaldada por la RPDC desde 2024.
Los operativos norcoreanos han "diversificado" su forma de defraudar a las víctimas a través de plataformas de trabajo freelance y alojamiento de código que reclutan a usuarios desprevenidos como proxies de identidad para trabajos tecnológicos remotos, según investigadores de ciberseguridad.
Los trabajadores de TI de la República Popular Democrática de Corea (RPDC) están utilizando Upwork, Freelancer y GitHub para hacerse pasar por trabajadores legítimos y evadir las sanciones internacionales utilizando cuentas verificadas pertenecientes a personas reales.
Según el investigador de ciberseguridad Heiner García Pérez, miembro de SEAL Intel, los hackers comienzan publicando ofertas de trabajo freelance o acercándose a los candidatos, luego trasladan las conversaciones a canales encriptados como Telegram o Discord, donde proporcionan instrucciones detalladas sobre cómo configurar el acceso remoto y las verificaciones.
Los actores maliciosos de la RPDC utilizan freelancers para eludir las sanciones
Garcia encontró que los operativos de la RPDC pueden eludir los filtros geográficos, las verificaciones de identidad y los sistemas de detección de VPN que normalmente bloquearían a los usuarios de países sancionados, utilizando silenciosamente identidades verificadas.
Esto les permite solicitar o realizar trabajos de TI remotos bajo una identidad robada o prestada, ocultando su origen mientras cobran a clientes desprevenidos.
"Estos actores están organizados, coordinados y comparten manuales operativos. La consistencia de sus métodos muestra que esto es parte de un sistema repetible y respaldado por el estado", escribió el miembro de SEAL Intel.
Como informó Cryptopolitan en agosto, varios trabajadores de TI de Corea del Norte se han infiltrado en empresas internacionales utilizando identidades falsas. Esto habría ayudado a las autoridades de la RPDC a desplegar profesionales de TI remotos en el extranjero para conseguir roles freelance o por contrato bajo identidades robadas o prestadas, junto con empresas pantalla que ocultan su afiliación.
Aquellos cuyas identidades se utilizan reciben solo alrededor del 20 % de los ingresos totales, mientras que los operativos se quedan con el 80 %, canalizado a través de billeteras de criptomonedas o incluso cuentas bancarias tradicionales.
Uso de IA para manipular imágenes y nombres de empresas
La investigación de García Pérez descubrió varios comportamientos de sofisticación técnica y ocultación deliberada. En un caso, un trabajador de TI había creado una carpeta de Google Drive etiquetada como "Mi Foto", donde se almacenaban retratos editados con IA junto con carpetas que llevaban los nombres de otras personas. Cree que estos documentos digitales son identidades separadas gestionadas por el mismo operador.
Los archivos que recuperó de la unidad ofrecían una visión más profunda de los procesos de reclutamiento y pago. Un archivo titulado "Cuenta" contenía instrucciones que explicaban cómo acceder a Upwork, el propósito de la colaboración y cómo se dividirían los beneficios.
Algunas de las carpetas estaban nombradas en coreano, como "it개발 매칭 플랫폼 사이트", que se traduce como "sitio de plataforma de emparejamiento de desarrollo de TI". El investigador propuso que tales documentos se utilizaban para "usuarios que hablan coreano y el ecosistema de TI nacional".
Heiner García Pérez también descubrió que los actores norcoreanos están explotando comunidades en línea para personas con discapacidad, portales de emparejamiento laboral e incluso sitios de amistad como InterPals para reclutar colaboradores.
Los flujos de pago pasan por criptomonedas, PayPal y bancos
Los objetivos ideales de estas operaciones se encuentran principalmente en Estados Unidos, Europa y partes de Asia. Sin embargo, Ucrania y Filipinas fueron las regiones más frecuentemente identificadas entre los materiales de reclutamiento porque tienen ubicaciones geográficas para candidatos en entornos de menores ingresos que pueden ser más receptivos a "oportunidades de ganancias rápidas".
"Si un cliente publica un proyecto, muchos usuarios freelance pujarán por ese proyecto. Entonces, el cliente discute su propio proyecto con los freelancers y le entrega el proyecto al desarrollador seleccionado. Si yo elijo, puedo trabajar en el proyecto del cliente. Después de que se complete el proyecto, puedo recibir dinero del cliente. El dinero se acreditará en tu cuenta de freelancer", explicó un reclutador de TI cómo ganar dinero a un titular de cuenta freelance llamado "Ana".
La estructura de reparto de beneficios entre los operativos y los colaboradores se acuerda al principio del intercambio. En la mayoría de los casos documentados, los trabajadores de TI convencen a las víctimas de que enreden a través de criptomonedas, PayPal e incluso transferencias bancarias.
En un caso verificado, un trabajador de TI norcoreano utilizó una cuenta fraudulenta de Upwork registrada bajo la identidad de un arquitecto de Illinois.
Si estás leyendo esto, ya vas por delante. Mantente así con nuestro boletín.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
Florence Muchai
Florence ha estado cubriendo durante los últimos 6 años noticias sobre criptomonedas, juegos, tecnología e inteligencia artificial. Sus estudios de Ciencias de la Computación en la Universidad de Ciencias y Tecnología de Meru y Gestión de Desastres y Diplomacia Internacional en MMUST la dotan adecuadamente de habilidades lingüísticas, de observación y técnicas. Florence ha trabajado en VAP Group y como editora en varias casas de medios de criptomonedas.
