Un investigador de seguridad griego supuestamente pasó 22 meses dentro de los servidores de hacking norcoreanos. Salió con una lista de víctimas de 1,640 organizaciones en 57 países.
Vangelis Stykas es director de tecnología en la firma de seguridad Kumio. Presentó los hallazgos esta semana en Black Hat en Las Vegas.
Cómo los cazadores se convirtieron en los cazados
Stykas invirtió el orden habitual. Se infiltró en los servidores de comando y control que las tripulaciones utilizan para ejecutar su malware.
En algunos casos, aterrizó en sus computadoras personales. Los hackers habían infectado esas máquinas ellos mismos.
Luego simplemente se quedó. Durante casi dos años los observó trabajar y registró cada nueva víctima a medida que aparecía.
Extrajo aproximadamente cinco terabytes de datos. Contenía claves de desarrollador, código fuente privado y los propios mensajes de Slack y Discord de las tripulaciones.
Ese acceso es la razón por la cual el conteo es firme. La mayoría de los informes de amenazas estiman las víctimas desde el exterior.
Este contó las víctimas desde los propios archivos de los atacantes. De las 1,640 organizaciones, Stykas califica de 700 a 800 como seriamente comprometidas.
Síguenos en X para obtener las últimas noticias a medida que suceden
En esos casos, las tripulaciones tenían acceso root a los servidores, permisos root de Amazon Web Services (AWS) o claves de billetera de criptomonedas.
Una oferta de trabajo fue la única explotación que necesitaban
Ninguna falla de software abrió estas puertas. Una oferta de trabajo lo hizo.
Se acercaron a los desarrolladores con roles senior y un buen salario. Luego se les pidió que realizaran una prueba de codificación para llevar a casa. La prueba instaló malware.
Los investigadores de Palo Alto Networks nombraron el patrón Entrevista Contagiosa en noviembre de 2023. Desde entonces, cinco empresas de seguridad han rastreado al mismo grupo bajo seis etiquetas diferentes.
Microsoft publicó su propio desglose en marzo de 2026. Rastreó la cadena hasta paquetes de código falsos alojados en GitHub, GitLab y Bitbucket.
Abrir uno en Visual Studio Code activa un aviso de confianza. Apruébalo, y el editor ejecuta el código de los atacantes por ellos.
“Al incrustar la entrega de malware dirigida directamente en herramientas de entrevista, ejercicios de codificación y flujos de trabajo de evaluación en los que los desarrolladores confían inherentemente, los actores de amenazas explotan la confianza que los solicitantes de empleo depositan en el proceso de contratación”, se lee en un extracto de un blog de seguridad de Microsoft en marzo.
Las puertas traseras luego buscan una breve lista de compras. Microsoft menciona tokens de API, credenciales de nube, claves de firma, billeteras criptográficas y archivos de administradores de contraseñas.
La contratación es un punto débil recurrente. Consensys atrapó a un desarrollador norcoreano oculto en su propio equipo, un mes después de comenzar a trabajar en el código de MetaMask.
Un contratista, treinta puertas de entrada
El cebo es barato. El alcance no lo es.
Stykas encontró contratistas que llevaban credenciales válidas para hasta 30 empresas. Una sola laptop infectada se convirtió en treinta formas de entrar.
El Hospital Infantil de Boston muestra el patrón. Stykas rastreó su exposición a un dispositivo personal de un excontratista.
El hospital disputa el marco. Dice que cortó las credenciales en cuestión de horas y no encontró señales de que sus propios sistemas fueran accedidos.
Los equipos también eran exigentes. Podían acceder a registros de salud y bases de datos criminales, pero ignoraron ambos.
Optaron por billeteras y acceso a blockchain en su lugar. Coinbase y Uniswap Labs están entre las organizaciones que actuaron según sus advertencias.
Esa disciplina se refleja en los totales. Los equipos vinculados a la República Popular Democrática de Corea (RPDC) robaron un total reportado de $2.02 mil millones en activos digitales durante 2025.
CrowdStrike registró eso como un aumento del 51% en un año. También señala a un equipo que llama GOLDEN CHOLLIMA por usar cebos de reclutamiento para acceder a entornos de nube fintech.
Esa es la cadena que Stykas observó desde adentro. La ruta humana sigue ganando.
TRM Labs rastreó el robo de $285 millones del Drift Protocol en abril a reuniones en persona entre proxies norcoreanos y personal.
Dos ataques produjeron el 76% de las pérdidas de 2026 a partir de solo el 3% de los incidentes. El total acumulado de Pyongyang ahora supera los 6 mil millones desde 2017.
Stykas dice que nuevas víctimas aún están surgiendo en los datos. La mayoría de las organizaciones, advirtió, nunca respondieron, por lo que grupos como Crypto ISAC ahora agrupan la inteligencia sobre amenazas de la DPRK.
Fuente: BeInCrypto
