Hackers rusos y norcoreanos roban 2 TB de datos de bancos surcoreanos
- Hackers rusos y norcoreanos despliegan el ransomware Qilin en Corea del Sur, robando 2 TB de datos a 28 víctimas del sector financiero.
- La campaña Korean Leaks se desarrolló en tres oleadas, utilizando mensajes políticos y propaganda junto con tácticas tradicionales de extorsión mediante ransomware.
- Los atacantes explotaron una brecha en un proveedor de servicios gestionados (MSP), lo que pone de manifiesto las vulnerabilidades de la cadena de suministro y la creciente sofisticación de las operaciones de ransomware.
La industria financiera de Corea del Sur fue golpeada por un ataque coordinado de cadena de suministro vinculado a actores de amenazas rusos y norcoreanos, lo que resultó en el despliegue de ransomware Qilin y el robo de datos sensibles, confirmó la firma de ciberseguridad Bitdefender.
Al compilar la investigación para su informe de Desglose de Amenazas de octubre, Bitdefender dijo que comenzó a investigar la campaña después de notar un aumento inusual en incidentes de ransomware en Corea del Sur en septiembre.
El país registró 25 ataques ese mes, una diferencia profunda del promedio mensual de solo dos casos registrados entre septiembre de 2024 y agosto de este año.
Corea del Sur objetivo en ataques de ransomware Qilin
Según el informe de Bitdefender publicado el lunes pasado, Corea del Sur se ha convertido en el segundo país más afectado por ransomware este año, solo superado por Estados Unidos. En aproximadamente 33 casos, la empresa de seguridad de software identificó, 25 casos fueron atribuidos al grupo de ransomware Qilin, y 24 de las entidades comprometidas estaban dentro de la industria financiera.
“Esta operación combinó las capacidades de un grupo mayor de Ransomware-as-a-Service (RaaS), Qilin, con la posible participación de actores afiliados al estado norcoreano (Moonstone Sleet), aprovechando la compromiso de un Proveedor de Servicios Gestionados (MSP) como el vector de acceso inicial”, leía el informe.
Qilin es uno de los grupos de ransomware más activos este año, operando bajo un modelo de Ransomware-as-a-Service y reclamando más de 180 víctimas solo en octubre. Según la inteligencia de amenazas de NCC Group, la operación es responsable del 29% de todos los ataques de ransomware a nivel mundial.
Aunque el nombre del grupo proviene de una criatura mitológica china, Bitdefender cree que Qilin tiene raíces rusas. Su investigación encontró que uno de sus miembros fundadores “BianLian” se comunica en ruso e inglés y está muy activo en foros rusos de cibercrimen.
El grupo también evita atacar a organizaciones en la Comunidad de Estados Independientes, una regla común entre las operaciones de ransomware con sede en Rusia.
Qilin recluta hackers para llevar a cabo sus ataques mientras los operadores principales se quedan con una parte de los beneficios ilícitos. El grupo también se enorgullece de tener “un equipo interno de periodistas” para ayudar a los afiliados a redactar mensajes de extorsión y publicaciones para su plataforma de filtración de datos.
Según el análisis de Bitdefender sobre la campaña de Filtraciones Coreanas, los hackers se hicieron pasar por “activistas” y “patriotas” utilizando lenguaje político para producir mensajes estilo propaganda, y apuntaron a toda la industria financiera del país.
En un caso del 20 de agosto que involucró a una empresa de construcción, los atacantes advirtieron que los datos robados tenían “valor de inteligencia militar”. El mensaje afirmaba que los planos y dibujos de cientos de proyectos completados, incluidos puentes y tanques de gas natural licuado, ahora eran de acceso público.
“Se está preparando un informe sobre lo que se encontró en estos documentos para el camarada Kim Jong-un”, leía una de las discusiones filtradas en los foros de Qilin, insinuando que los hackers estaban compartiendo información con el liderazgo del grupo de Corea del Norte.
Qilin roba datos que suman 2TB en tres oleadas
La operación Korean Leaks, según Bitdefender, se desarrolló en tres oleadas que resultaron en el robo de más de 1 millón de archivos y 2 TB de datos de 28 víctimas conocidas. Las publicaciones vinculadas a cuatro entidades adicionales fueron eliminadas posteriormente del sitio de filtración de datos, lo que podría haber sido como resultado de pagos de rescate o decisiones internas de los operadores.
La primera oleada se publicó el 14 de septiembre e incluyó 10 víctimas del sector de gestión financiera. La segunda oleada siguió entre el 17 y el 19 de septiembre, añadiendo nueve casos más, mientras que la tercera se lanzó entre el 28 de septiembre y el 4 de octubre, apuntando a otras nueve organizaciones.
“Tenemos datos de docenas de empresas. La Filtración Coreana es una razón para retirar dinero del mercado de valores del país, porque tenemos un volumen de datos cuya publicación definitivamente dará un golpe serio a todo el mercado coreano. Y lo haremos definitivamente”, leía una amenaza de los hackers durante la segunda oleada.
Bitdefender dijo que los atacantes enmarcaron la campaña como un esfuerzo para exponer la corrupción, incluidas amenazas de liberar documentos que podrían ser “evidencia de manipulación del mercado de valores” y nombres de “políticos y empresarios conocidos en Corea.”
El 23 de septiembre, la publicación de noticias coreana JoongAng Daily informó que más de 20 empresas de gestión de activos habían sido infectadas con ransomware después de la violación de un proveedor de servicios llamado GJTec.
No te limites a leer noticias sobre criptomonedas. Entiéndelas. Suscríbete a nuestro boletín. Es gratis.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
Florence Muchai
Florence ha estado cubriendo durante los últimos 6 años noticias sobre criptomonedas, juegos, tecnología e inteligencia artificial. Sus estudios de Ciencias de la Computación en la Universidad de Ciencias y Tecnología de Meru y Gestión de Desastres y Diplomacia Internacional en MMUST la dotan adecuadamente de habilidades lingüísticas, de observación y técnicas. Florence ha trabajado en VAP Group y como editora en varias casas de medios de criptomonedas.
