Diez años con código robado: Corea del Norte reescribió de repente su antivirus nacional.

Corea del Norte está casi completamente aislada de la red global, pero incluso allí se necesita un antivirus — y la historia de su creación resultó ser mucho más interesante de lo que se podía esperar: en 2018 la empresa Check Point descubrió que el software de protección norcoreano SiliVaccine funcionaba con código robado a Trend Micro casi diez años antes. Ahora ha surgido una nueva versión del mismo antivirus, y en ella no queda rastro del código antiguo — el programa fue reescrito prácticamente desde cero.

El código robado ha desaparecido. En su lugar, los desarrolladores utilizaron herramientas abiertas y gratuitas: firmas de virus del proyecto ClamAV y el programa Malheur, que reconoce archivos maliciosos por su comportamiento y no por muestras ya existentes. Además, los desarrolladores ni siquiera lo ocultan: en el menú del programa hay una opción con el nombre explícito de ambos motores.

Sin embargo, el conjunto de muestras con el que se entrenó el sistema de detección resultó casi aleatorio: dos tercios de los cien archivos pertenecen a una familia de virus muy común y conocida desde hace tiempo, por lo que no puede hablarse de una colección exhaustiva de software malicioso.

También cambió el nombre del propio programa. SiliVaccine resultó ser solo la denominación de trabajo del proyecto, que quedó en los archivos auxiliares de compilación. En archivos y módulos ejecutables el programa figura como KVACCINE, y a los usuarios se les presenta con otro nombre: Chhonryubeok, o «Muro del flujo limpio».

A pesar del cambio de rótulo y la reescritura del código, la pista antigua sí apareció: llamadas internas del programa señalan a la empresa PGI — la misma que en 2018 Check Point había nombrado como probable desarrolladora de la versión anterior del antivirus. Esa misma empresa también apareció en los certificados del cliente VPN norcoreano Hangro.

El programa también presenta rarezas que aún no tienen explicación. Usa una clave de cifrado de solo 96 bits — según los estándares actuales esa protección se considera débil. Dentro de uno de los archivos del sistema se oculta una lista de entradas de inicio automático de Windows vinculadas a programas maliciosos conocidos. En el código también se encontró la dirección de un servicio que utiliza el sistema VPN SoftEther para establecer conexiones a través de enrutadores de red.

Un misterio aparte: tres componentes del programa, independientes entre sí, contienen huellas que conducen a Japón: desde el controlador de un sistema japonés de identificación electrónica hasta un archivo con nombres de columnas en japonés. Qué significa esta conexión todavía no se ha establecido — sigue siendo objeto de investigación.

Así, un antivirus común para usuarios domésticos resultó ser una fuente inesperada de información sobre la estructura de la industria informática de Corea del Norte: a través de él afloraron conexiones entre empresas que formalmente no se cruzan en ningún lado — desde servicios VPN hasta desarrolladores estatales. El software civil y el software de servicio en un sistema así están más vinculados de lo que parece desde fuera.