Los hackers norcoreanos apuntan a los buscadores de empleo en cripto con malware

Los hackers norcoreanos, Famous Chollima, apuntaron a expertos en cripto con entrevistas de trabajo falsas diseñadas para robar sus datos e implementar malware en sus dispositivos. El malware robó credenciales de más de 80 extensiones de navegador, incluidos gestores de contraseñas y billeteras de cripto como Metamask, 1Password, NordPass, Phantom, Bitski, Initia, TronLink y MultiverseX.

El miércoles, la firma de investigación de inteligencia de amenazas Cisco Talos informó que Famous Chollima se hizo pasar por empresas legítimas y dirigió a víctimas desprevenidas a sitios web de pruebas de habilidades donde las víctimas ingresaron detalles personales y respondieron preguntas técnicas.

Los sitios de prueba de habilidades presentaron falsamente a empresas reales como Coinbase, Archblock, Robinhood, Parallel Studios, Uniswap y otras, lo que ayudó con el objetivo. 

Solo unos pocos usuarios, predominantemente en la India, se vieron afectados según la inteligencia de código abierto. Dileep Kumar H V, director de Digital South Belief, aconsejó que, para contrarrestar estos engaños, India debería exigir auditorías de ciberseguridad a las empresas de blockchain y monitorear portales de trabajo falsos. También pidió una coordinación global más fuerte sobre el cibercrimen transfronterizo y campañas de conciencia digital.

Talos da seguimiento al engaño y confirma una conexión norcoreana

🚨 𝗔𝗟𝗘𝗥𝗧𝗔: 𝗹𝗼𝘀 𝗵𝗮𝗰𝗸𝗲𝗿𝘀 𝗻𝗼𝗿𝗰𝗼𝗿𝗲𝗮𝗻𝗼𝘀 𝗲𝘀𝘁á𝗻 𝗮𝗽𝘂𝗻𝘁𝗮𝗻𝗱𝗼 𝗮 𝗽𝗿𝗼𝗳𝗲𝘀𝗶𝗼𝗻𝗮𝗹𝗲𝘀 𝗱𝗲 𝗯𝗹𝗼𝗰𝗸𝗰𝗵𝗮𝗶𝗻 𝗰𝗼𝗻 𝗻𝘂𝗲𝘃𝗼 𝗺𝗮𝗹𝘄𝗮𝗿𝗲 𝗿𝗼𝗯𝗮𝗱𝗼𝗿 𝗱𝗲 𝗶𝗻𝗳𝗼𝗿𝗺𝗮𝗰𝗶ó𝗻

𝗗𝗶𝘀𝗳𝗿𝗮𝘇𝗮𝗱𝗼𝘀 𝗱𝗲 𝗽á𝗴𝗶𝗻𝗮𝘀 𝗳𝗮𝗹𝘀𝗮𝘀 𝗱𝗲 𝘁𝗿𝗮𝗯𝗮𝗷𝗼 𝗲𝗻 𝗰𝗿𝗶𝗽𝘁𝗼 — 𝘁𝗲𝗻 𝗰𝘂𝗶𝗱𝗮𝗱𝗼… pic.twitter.com/wt4pe5o1Zg

— Mayank Dudeja || SPYONGEMS (@imcryptofreak) 20 de junio de 2025

La firma de investigación de ciberseguridad Cisco Talos afirmó que el nuevo troyano de acceso remoto basado en Python llamado “PylangGhost” vinculaba el malware a un colectivo de hackers afiliado a Corea del Norte llamado “Famous Chollima”, también conocido como “Wagemole.”

La firma también reveló que el malware PylangGhost era funcionalmente equivalente al RAT GolangGhost documentado anteriormente, compartiendo muchas de las mismas capacidades. Famous Chollima utilizó la variante basada en Python para apuntar a sistemas Windows, mientras que la versión Golang apuntaba a usuarios de macOS. Los sistemas Linux fueron excluidos de estos últimos ataques.

Según Talos, el grupo de actores de la amenaza ha estado activo desde 2024 a través de varias campañas bien documentadas. Estas campañas incluyeron el uso de variantes de Contagious Interview (también conocido como Deceptive Development) y la creación de anuncios de trabajo falsos y páginas de prueba de habilidades. Se instruyó a los usuarios a copiar y pegar (ClickFix) una línea de comando maliciosa para instalar los controladores necesarios para realizar la etapa final de prueba de habilidades.  

Los candidatos en el último esquema descubierto en mayo fueron instruidos para habilitar el acceso a la cámara para una entrevista en video y se les pidió que copiaran y ejecutaran comandos maliciosos disfrazados como instalaciones de controladores de video. Así, terminaron usando PylangGhost en sus dispositivos. La ejecución comenzó con el archivo “nvidia.py”, que realizó varias tareas: creó un valor de registro para iniciar el RAT cada vez que un usuario iniciaba sesión en el sistema, generó un GUID para el sistema que se usaría en la comunicación con el servidor de comando y control (C2), se conectó al servidor C2 y entró en el bucle de comandos para la comunicación con el servidor.

Según Cisco Talos, “Las instrucciones para descargar el supuesto corrector son diferentes según la huella digital del navegador, y también se proporcionan en el lenguaje de shell apropiado para el SO: PowerShell o Command Shell para Windows, y Bash para MacOS.”

Talos observó que, además de robar fondos directamente de los intercambios, los hackers de Famous Chollima se han centrado recientemente en profesionales de las criptomonedas para recopilar información e infiltrarse posiblemente en empresas de cripto desde dentro. A principios de este año, los hackers norcoreanos establecieron empresas estadounidenses falsas, BlockNovas LLC y SoftGlide LLC, para distribuir malware a través de entrevistas de trabajo fraudulentas antes de que el FBI incautara el dominio de BlockNovas.

Corea del Norte emerge como un centro de esquemas de hacking notorios

En diciembre 2024, el hackeo de Radiant Capital por $50 millones comenzó cuando los actores norcoreanos de la DPRK se hicieron pasar por ex contratistas y enviaron PDFs con malware a ingenieros. El (los) impostor(es) compartió un archivo zip bajo el pretexto de pedir comentarios sobre un nuevo proyecto en el que estaban trabajando.

Una declaración conjunta de Japón, Corea del Sur y EE. UU. también confirmó que los grupos respaldados por Corea del Norte, incluido Lazarus, robaron al menos 659 millones de dólares a través de múltiples robos de cripto en 2024. Los enviados notaron que los trabajadores en el extranjero de Corea del Norte, incluidos especialistas en TI dedicados a “actividades cibernéticas maliciosas”, fueron un factor importante en la capacidad del régimen para financiar sus programas de armas a través del robo y el lavado de fondos, incluidas las criptomonedas.

Chainalysis La vicepresidenta de investigaciones Erin Plante confirmó que los hackers vinculados a Corea del Norte fueron con diferencia los hackers de cripto más prolíficos en los últimos años. En 2022, rompieron sus propios récords de robo, robando un estimado de 1.700 millones de dólares en cripto a través de varios hackeos, en comparación con los 428,8 millones de dólares de 2021.

Sin embargo, en mayo, el intercambio de cripto Kraken reveló que había identificado y frustrado con éxito a un operativo norcoreano que había solicitado un puesto de TI. Kraken atrapó al solicitante cuando falló en las pruebas básicas de verificación de identidad durante las entrevistas.