El 65% de las criptomonedas pirateadas terminan en Corea del Norte.

Tras los exitosos ataques contra Sony y varios bancos internacionales, el grupo de hackers norcoreano Lazarus ha centrado su atención en las criptomonedas.

Según un informe de Group-IB, la banda de ciberdelincuentes, que según los medios de comunicación está patrocinada por un Estado, ha obtenido quinientos millones de dólares en criptomonedas mediante piratería informática en menos de veinte meses.

Sometida a sanciones internacionales cada vez más severas, Corea del Norte es uno de varios países —como Rusia y Venezuela— que están utilizando las criptomonedas como una forma de contrarrestar la presión económica de Estados Unidos.

Reforzar los ingresos estatales

FireEye, una empresa de ciberseguridad, ha estado monitoreando a Lazarus durante varios años por encargo del FBI. Afirman que el grupo fue concebido inicialmente para realizar ciberespionaje contra la rival Corea del Sur, pero que desde entonces se ha dedicado a robar fondos en lugar de secretos de Estado, llevando a cabo ciberataques a gran escala contra organizaciones prestigiosas de todo el mundo.

Durante el último año, el foco de atención se ha desplazado de los bancos, los gobiernos y las empresas multinacionales a las plataformas de intercambio de criptomonedas , cuyas vulnerabilidades de seguridad las convierten en objetivos lucrativos. En total, el informe revela que se han producido 14 ataques diferentes contra plataformas de intercambio de criptomonedas desde enero de 2017, de los cuales el grupo Lazarus ha sido vinculado a cinco.

La mayoría de estos ataques se produjeron en la vecina Corea del Sur —un centro neurálgico de las criptomonedas— y en Japón, otro punto clave para el comercio de criptomonedas. Se estima que estos ataques le reportaron al grupo 571 millones de dólares (algo menos del 5 % del producto interno bruto de Corea del Norte), lo que representa casi el 65 % de los 882 millones de dólares en criptomonedas robadas de plataformas de intercambio en línea desde 2017.

De esta cantidad, 7 millones de dólares provienen de Bithumb , una plataforma de intercambio surcoreana atacada en febrero de 2017, y 5.6 millones de dólares de YouBit, que sufrió dos ciberataques con pocos meses de diferencia y se vio obligada a declararse en bancarrota. Siendo la mayor plataforma de intercambio en el tercer mercado más grande del mundo para el comercio de bitcoins, la brecha de seguridad de Bithumb por sí sola tuvo repercusiones en todo el ecosistema cripto.

La caja de herramientas de los hackers

Según el informe, los hackers han adoptado las mismas tácticas utilizadas para vulnerar a grandes bancos y empresas, y las han trasladado al mundo de las criptomonedas; utilizando una variedad de métodos para extraer fondos de los exchanges.

Este conjunto de herramientas resultará familiar para muchos, ya que los ataques presentan similitudes técnicas con los métodos empleados en ataques anteriores, como el de WannaCry, que exigía Bitcoin como rescate, y el de Sony Pictures, que robó y publicó correspondencia secreta de ejecutivos después de que la compañía satirizara al país en la película de comedia The Interview.

Aunque se cree que sus primeros ataques comenzaron en 2009, fue su ataque de 2014 contra Sony Pictures lo que puso al Grupo Lazarus en el escenario mundial.

El spear phishing, los sitios web fraudulentos y el malware son las tres principales herramientas utilizadas por Lazarus para extraer fondos de organizaciones desprevenidas.

Lazarus envió correos electrónicos fraudulentos ( spear phishing ) a usuarios de exchanges de criptomonedas surcoreanos como Coinlink, solicitando la descarga de un paquete que, de forma encubierta, recuperaría sus nombres de usuario y contraseñas: "El spear phishing sigue siendo el principal vector de ataque a las redes corporativas. Por ejemplo, los estafadores distribuyen malware bajo la apariencia de correo basura con currículums [con un archivo adjunto] que contiene malware incrustado en el documento", explica el resumen del informe.

Según el informe, los sitios web falsos y otras técnicas de phishing han permitido a los piratas informáticos robar el 10 % de los fondos recaudados por las plataformas de ICO desde principios de 2017. Estas réplicas de sitios web de ICO, cuidadosamente diseñadas, como las que afectaron a la esperada ICO de Telegram en marzo, engañan a los inversores haciéndoles creer que están financiando un proyecto real.

El malware para la minería ilícita, también conocido como criptominado malicioso, es una actividad que no se menciona en el resumen del informe, pero que desde hace tiempo se ha vinculado con Corea del Norte . AlienVault, una empresa estadounidense de ciberseguridad, afirmó a principios de este año haber encontrado aplicaciones de minería ocultas en ordenadores que enviaban fondos a la Universidad Kim Il Sung en Pyongyang, una institución que, según se informa, ha invitado a expertos en criptomonedas a impartir conferencias.

Objetivos móviles

En el mundo en constante evolución de las criptomonedas, los nuevos desarrollos siguen ofreciendo oportunidades lucrativas para los hackers. Según el informe, es probable que veamos métodos de phishing más complejos y más ataques del 51% , una actividad que, según el informe, se facilita a los ciberdelincuentes por la fácil disponibilidad de potencia de procesamiento alquilable: "En 2017 no se detectaron ataques exitosos del 51%, pero ahora son más frecuentes. En el primer semestre de 2018, se registraron cinco ataques exitosos con pérdidas financieras directas que oscilaron entre 0.55 millones y 18 millones de dólares", advierte Group-IB. "Los esquemas fraudulentos de phishing que involucran marcas de criptomonedas se volverán cada vez más complejos, al igual que el nivel de preparación de los ciberdelincuentes para los ataques de phishing".