Los piratas informáticos norcoreanos atacan a los criptotrabajadores con falsas entrevistas de trabajo y un nuevo malware

Una nueva campaña de hacking norcoreana se dirige a los criptoprofesionales con falsas ofertas de trabajo para propagar un potente malware. El objetivo: robar datos confidenciales y obtener acceso remoto a los sistemas de las víctimas.

El malware, PylangGhost, puede obtener información de inicio de sesión de más de 80 extensiones de navegador, incluidas las principales criptocarteras y gestores de contraseñas. La mayoría de las víctimas hasta ahora son desarrolladores de blockchain y trabajadores de criptomonedas en India.

Entrevistas falsas, daños reales

Los atacantes se hacen pasar por reclutadores de conocidas empresas de criptomonedas como Coinbase, Uniswap y Robinhood. Se ponen en contacto con las víctimas potenciales a través de plataformas de empleo y correo electrónico, ofreciéndoles puestos falsos para atraerlas. Tras un intercambio básico, los “reclutadores” envían enlaces a falsas pruebas de habilidad alojadas en sitios web que parecen legítimos.

Una vez que el candidato completa la prueba, los hackers le piden que active su webcam y su micrófono para una supuesta entrevista en vídeo. Ahí es donde las cosas se vuelven peligrosas. Los hackers dicen a las víctimas que tienen que instalar una actualización del controlador de vídeo para que la entrevista funcione correctamente. Pero lo que realmente están descargando es PylangGhost, un troyano de acceso remoto basado en Python.

El malware da a los hackers el control total de la máquina infectada. Puede robar archivos, rastrear la actividad y enviar información de inicio de sesión a los servidores de comando de los atacantes. Contraseñas, claves de cartera, cookies. Todo está en juego.

A medida que crecen amenazas como ésta, más gente está empezando a utilizar las mejores criptocarteras descentralizadas para almacenar sus activos fuera de línea o en sistemas no custodiados. Estas carteras dan a los usuarios el control total de sus claves, manteniéndolos más seguros frente a brechas remotas como ésta.

Nuevo nombre, viejos trucos

El grupo de piratas informáticos que está detrás de esta campaña se hace llamar “Famous Chollima”, aunque también es famoso en los círculos de la ciberdelincuencia como “Wagemole”. Tiene vínculos con otros grupos cibernéticos norcoreanos, como Lazarus, que tiene un largo historial de atacar proyectos de criptomonedas y robar activos digitales, como el ataque a Sony Pictures en 2014.

Cisco Talos, una de las principales empresas de investigación de seguridad, fue la primera en identificar PylangGhost. Según su informe, el malware es un primo del anterior troyano GolangGhost. Mientras que GolangGhost atacaba principalmente sistemas macOS, esta nueva versión se dirige a máquinas Windows.

Puede que las herramientas y los métodos estén evolucionando, pero el enfoque no es nuevo. Los actores norcoreanos ya han utilizado empleos y empresas falsos para introducir programas maliciosos. A finales de 2024, las autoridades estadounidenses incautaron un dominio vinculado a una empresa falsa, BlockNovas LLC, que se estaba utilizando en un tipo de ataque similar. En ese caso también se utilizaron entrevistas falsas, correos electrónicos de phishing y documentos con malware.

El ámbito sigue creciendo

El malware no sólo persigue los datos del navegador. Puede hacer capturas de pantalla, gestionar archivos, recopilar información del sistema y mantener acceso a largo plazo al dispositivo de la víctima. Los investigadores afirman que esto permite a los atacantes no sólo robar dinero, sino también recopilar información sobre empresas de criptomonedas y su funcionamiento interno.

Los estafadores podrían utilizar esa información en futuros ataques o para ayudar a colocar a otros solicitantes falsos dentro de empresas reales. De hecho, en mayo, la bolsa de criptomonedas Kraken dijo que había pillado a un agente norcoreano que solicitaba un empleo en tecnología. El agente no superó las comprobaciones de identidad durante el proceso de contratación, pero el caso demostró hasta dónde pueden llegar estas campañas.

Funcionarios surcoreanos, japoneses y estadounidenses han confirmado que grupos respaldados por Corea del Norte robaron más de 650 millones de dólares en criptomonedas sólo en el primer semestre de 2024. Los expertos afirman que esa cifra podría aumentar considerablemente a medida que se sigan extendiendo estas estafas de falsas contrataciones.

Pide controles cibernéticos más estrictos

Los expertos en seguridad afirman que es esencial detener estos ataques. En India, donde residen muchas de las últimas víctimas, los líderes en los campos de la tecnología y la seguridad están instando a que se tomen medidas.

Dileep Kumar H V, director de Digital South Trust, dijo que el gobierno debería hacer obligatorias las auditorías de ciberseguridad para las empresas de blockchain. También pidió una mejor supervisión de los sitios de empleo falsos y una mayor coordinación con las agencias mundiales.

Se ha pedido al CERT-In, la principal agencia cibernética del país, que emita alertas públicas, mientras que se ha instado a los legisladores a endurecer la Ley de Tecnologías de la Información para ayudar a los fiscales a perseguir los delitos transfronterizos.

Está claro que el objetivo no es sólo el robo, sino el acceso en sí. Estos hackers intentan introducirse en el espacio criptográfico a través de las personas que lo construyen y dirigen. Y a menos que las empresas y los trabajadores se mantengan alerta, encontrarán más formas de entrar.

Mantente inteligente, mantente seguro

La defensa más segura ahora mismo es la concienciación. No te fíes de las ofertas de trabajo aleatorias que surgen de la nada. Nunca instales software durante una entrevista, y comprueba siempre dos veces los sitios que debes visitar. A medida que crece la industria de las criptomonedas, también lo hacen los riesgos que la rodean.

Exención de responsabilidad: Cualquier información escrita en este comunicado de prensa o post patrocinado no constituye asesoramiento de inversión. Themarketperiodical y todos sus autores no respaldan ni respaldarán ninguna información sobre ninguna empresa o persona que aparezca en esta página. Se anima a los lectores a que investiguen por su cuenta y actúen basándose en sus propias conclusiones y no en el contenido de este comunicado de prensa o post patrocinado. Themarketperiodical.com no es ni será responsable de ningún daño o pérdida causados directa o indirectamente por el uso de cualquier contenido, producto o servicio mencionado en este comunicado de prensa o post patrocinado.