Hackers norcoreanos utilizan empresas falsas de EE. UU. para atacar a desarrolladores de criptomonedas

Según documentos legales de EE. UU. e investigaciones compartidas con Reuters, los operadores cibernéticos norcoreanos formaron en silencio dos sociedades de responsabilidad limitada en Estados Unidos y las utilizaron para introducir código dañino a ingenieros de software que buscan empleo en el mundo de las criptomonedas.

Silent Push, una firma de ciberseguridad, afirma que Blocknovas LLC en Nuevo México y Softglide LLC en Nueva York fueron creadas con nombres falsos y direcciones alquiladas para que los hackers pudieran parecer empleadores legítimos mientras enviaban malware a los solicitantes. Una tercera firma, Angeloper Agency, presentaba huellas web maliciosas idénticas pero no aparecía en ningún registro corporativo de EE. UU.

“Este es un ejemplo raro de hackers norcoreanos que realmente lograron establecer entidades corporativas legales en EE. UU. con el fin de crear fachadas corporativas utilizadas para atacar a solicitantes de empleo desprevenidos”, declaró Kasey Best, directora de inteligencia de amenazas de Silent Push, a Reuters.

El FBI no quiso discutir directamente a las dos empresas. Sin embargo, el jueves, el bureau publicó un aviso de decomiso en el sitio web de Blocknovas que indicaba que el dominio había sido tomado “como parte de una acción policial contra actores cibernéticos norcoreanos que utilizaron este dominio para engañar a individuos con ofertas de trabajo falsas y distribuir malware.”

Antes del desmantelamiento, altos funcionarios del FBI dijeron a la agencia que el objetivo es “imponer riesgos y consecuencias, no solo a los actores de la RPDC en sí mismos, sino a cualquier persona que facilite su capacidad para llevar a cabo estos esquemas.”

Un funcionario calificó a las unidades de hacking de Corea del Norte como “quizás una de las amenazas persistentes más avanzadas” a las que se enfrenta Estados Unidos hoy en día.

Silent Push indica que los atacantes se hacían pasar por reclutadores y ofrecían entrevistas que requerían que los objetivos abrieran archivos maliciosos.

Blocknovas y Softglide utilizaron anuncios de empleo para introducir malware a desarrolladores de criptomonedas

Una vez lanzados, los archivos intentaron recopilar claves de billeteras de criptomonedas, contraseñas y otras credenciales que podrían ayudar más tarde a acceder a exchanges o empresas tecnológicas.

El informe no publicado de la compañía confirma “múltiples víctimas”, la mayoría de ellas abordadas a través de Blocknovas, que los investigadores describen como “con diferencia la más activa” de las tres fachadas.

Los registros estatales muestran que Blocknovas fue registrada en Nuevo México el 27 de septiembre de 2023. Su documentación lista una dirección postal en Warrenville, Carolina del Sur, que Google Maps muestra como un terreno vacío.

La constitución de Softglide en Nueva York se remonta a una pequeña oficina de preparación de impuestos en Búfalo. No había rastro de las personas cuyos nombres aparecen en ninguno de los documentos.

Funcionarios de EE. UU. dicen que el patrón se ajusta a un impulso norcoreano más amplio para obtener divisas fuertes. Washington, Seúl y expertos de las Naciones Unidas han acusado durante mucho tiempo a Pyongyang de robar criptomonedas y enviar a miles de trabajadores de tecnología de la información al extranjero para financiar el programa de misiles nucleares del país.

Dirigir una empresa controlada por Corea del Norte dentro de Estados Unidos viola las sanciones impuestas por la Oficina de Control de Activos Extranjeros (OFAC) del Departamento del Tesoro. Viola las medidas del Consejo de Seguridad de la ONU que prohíben la actividad comercial que beneficie al estado o al ejército norcoreano.

Archivos de empleo con malware vinculados al Grupo Lazarus

La secretaria de Estado de Nuevo México dijo en un correo electrónico que Blocknovas se presentó a través del sistema en línea de LLC doméstica utilizando un agente registrado y parecía cumplir con las normas estatales. “No habría manera de que nuestra oficina supiera su conexión con Corea del Norte”, escribió un representante.

Los investigadores vinculan la actividad con un subgrupo del Grupo Lazarus, un equipo de hackers de élite que responde a la Oficina General de Reconocimiento, el principal brazo de inteligencia extranjera de Pyongyang.

Silent Push identificó al menos tres familias de malware previamente conocidas dentro de los archivos de empleo maliciosos. Las herramientas pueden extraer datos de máquinas infectadas, abrir puertas traseras para una mayor intrusión y descargar código de ataque adicional, un manual de operaciones visto con frecuencia en actividades pasadas de Lazarus.

Por ahora, el dominio de Blocknovas está bajo decomiso federal, el sitio web de Softglide está fuera de línea y las páginas de Angeloper Agency devuelven errores. Pero los investigadores advierten que nuevas alias pueden aparecer rápidamente.

“Esta operación ilustra la amenaza en constante evolución que plantean los actores cibernéticos de la RPDC”, dijo el FBI en su declaración, instando a los profesionales de la tecnología a examinar las ofertas de trabajo no solicitadas y a informar cualquier contacto sospechoso.