Un grupo cibernético norcoreano ataca la industria de las criptomonedas con malware de "riesgo oculto" en macOS.

El grupo de ciberespionaje BlueNoroff, vinculado al Estado norcoreano, está intensificando sus ataques contra el sector de las criptomonedas, en particular mediante una campaña de malware dirigida a macOS, denominada "Riesgo Oculto". Identificada por Sentinel Labs, esta campaña emplea sofisticadas tácticas de phishing dirigidas a usuarios de macOS con diversos cargos en plataformas de intercambio de criptomonedas y DeFi. Sin embargo, esta actividad forma parte de una estrategia mucho más amplia de grupos patrocinados por el Estado norcoreano, principalmente el Grupo Lazarus, para generar ingresos por medios ilícitos. En total, se alega que han desviado alrededor de 3 millones de dólares de todos los sectores desde 2017.

Según la investigación de SentinelLabs , BlueNoroff ha comenzado a utilizar correos electrónicos maliciosos, haciéndose pasar por actualizaciones sobre tendencias de criptomonedas o incluso informes de investigación, para distribuir archivos PDF infectados. Al descargar estos archivos, las víctimas, sin saberlo, activan una serie de fases de malware que atacan sus dispositivos. El primer engaño consiste en noticias o contenido de investigación legítimo relacionado con temas de criptomonedas, induciendo a los usuarios a descargar una aplicación maliciosa que imita un archivo PDF. Una vez instalado, este malware elude las medidas de seguridad integradas de Apple, abriendo sigilosamente un documento falso e instalando simultáneamente una puerta trasera en el sistema macOS de la víctima.

Fuente: SentinelLabs

El proceso multietapa del malware otorga a los hackers acceso remoto a la máquina infectada, lo que les permite monitorear y controlar las actividades del usuario y recuperar datos confidenciales, incluidas las claves privadas de las billeteras digitales, un activo particularmente valioso para quienes manejan grandes volúmenes de criptomonedas.

La campaña “Riesgo Oculto” se diferencia de los métodos tradicionales de BlueNoroff, que se basaban en la interacción en redes sociales para captar víctimas. Históricamente, los hackers se ganaban la confianza de los usuarios mediante interacciones prolongadas en plataformas como LinkedIn o Twitter, a menudo utilizando perfiles falsos para parecer creíbles. En la campaña actual, BlueNoroff opta por una estrategia de phishing directo. El grupo ahora envía correos electrónicos que simulan ser actualizaciones urgentes del mercado o resultados de investigaciones exclusivas sobre temas como “Riesgo Oculto Tras el Nuevo Repunte del Precio del Bitcoin” o “Temporada 2.0 de Altcoins: Las Joyas Ocultas a Seguir”.

Los atacantes suelen suplantar la identidad de figuras o investigadores conocidos del sector de las criptomonedas, utilizando los nombres de profesionales reales de campos ajenos para convencer aún más a los destinatarios de la autenticidad de los correos electrónicos. Por ejemplo, un correo electrónico de phishing citaba un artículo de investigación de un académico de la Universidad de Texas titulado «ETF de Bitcoin: Oportunidades y riesgos», lo que aumentaba la probabilidad de que los destinatarios interactuaran con el contenido del correo.

Técnicas de evasión de seguridad en macOS

Uno de los aspectos más preocupantes del malware «Hidden Risk» son sus avanzadas técnicas de evasión. Este malware está firmado con identificadores de desarrollador de Apple legítimos, lo que le permite eludir el mecanismo de seguridad Gatekeeper de Apple, una función diseñada para bloquear software no confiable. Además, aprovecha una característica poco explotada del sistema macOS, modificando el archivo de configuración «zshenv» para mantener su persistencia. Esta técnica evita que se activen las notificaciones de alerta en segundo plano de Apple, lo que dificulta que los usuarios detecten y eliminen el malware.

La investigación de SentinelLabs también reveló que los hackers podrían adquirir o secuestrar cuentas válidas de desarrolladores de Apple, lo que les permitiría eludir repetidamente las medidas de seguridad de macOS. Este hecho supone una importante amenaza para la seguridad del sector, especialmente dado que muchos usuarios de los sectores de criptomonedas y finanzas dependen cada vez más de macOS para sus operaciones diarias.

Para reforzar su credibilidad, BlueNoroff ha creado una extensa red de infraestructura que imita a proveedores legítimos de criptomonedas y servicios financieros. Los dominios vinculados a plataformas como Web3 y empresas DeFi se han registrado utilizando registradores de dominios de renombre, como Namecheap. Los hackers también emplean herramientas de marketing automatizadas para eludir los filtros de spam, asegurando que los correos electrónicos de phishing lleguen a sus objetivos. Entre los proveedores de alojamiento involucrados se encuentran Quickpacket, Routerhosting y Hostwinds, que BlueNoroff utiliza para alojar su infraestructura maliciosa.

Preocupación mundial creciente y advertencias del FBI

Las autoridades estadounidenses han tomado conocimiento de las actividades cibernéticas de Corea del Norte dirigidas al sector de las criptomonedas. El Buró Federal de Investigación (FBI) ha emitido advertencias a las empresas de criptomonedas, alertándolas sobre la creciente amenaza que representan grupos respaldados por Corea del Norte, como BlueNoroff. En un boletín reciente, el FBI señaló un aumento en las estafas de phishing dirigidas a trabajadores de plataformas DeFi, donde los hackers utilizan ofertas de trabajo o oportunidades de inversión lucrativas para engañar a las víctimas y lograr que descarguen malware.

La constante evolución de las tácticas cibernéticas de BlueNoroff pone de manifiesto un riesgo creciente para la industria de las criptomonedas. El cambio de complejas interacciones en redes sociales a correos electrónicos de phishing directos representa una respuesta adaptativa a la creciente concienciación sobre ciberseguridad y a las anteriores medidas represivas de las fuerzas del orden . Aprovechando las vulnerabilidades de macOS y el secuestro de credenciales de desarrollador válidas, los ciberdelincuentes norcoreanos han perfeccionado su capacidad para infiltrarse en dispositivos y extraer datos financieros confidenciales con una mínima detección.

Los expertos en ciberseguridad recomiendan que las empresas y los profesionales del sector de las criptomonedas refuercen sus protocolos de seguridad. Medidas como examinar con atención los archivos adjuntos inesperados en los correos electrónicos, monitorizar posibles cambios no autorizados en los archivos del sistema y actualizar macOS con prontitud pueden mitigar algunas de estas amenazas. Asimismo, se recomienda a las empresas realizar auditorías de seguridad periódicas y capacitar a sus equipos para identificar las estafas de phishing. Dado el continuo enfoque de BlueNoroff en el sector de las criptomonedas, unas prácticas sólidas de ciberseguridad son esenciales para proteger los activos digitales de las amenazas cibernéticas cada vez más sofisticadas.