Los cazadores se convirtieron en presa: un investigador espió durante dos años a hackers de Corea del Norte a través de sus propios chats de trabajo.

A veces la única manera de valorar de verdad la magnitud de la amenaza es infiltrarse en el territorio del adversario; eso fue lo que hizo el investigador griego Vangelis Stikas, que durante casi dos años estudió desde dentro los servidores de hackers norcoreanos. En ese tiempo averiguó que las víctimas del grupo fueron 1640 empresas de 57 países, y alrededor de 700–800 de ellas resultaron especialmente afectadas: los atacantes obtenían acceso root a servidores, cuentas en la nube de AWS y monederos de criptomonedas.

Stikas, director técnico de la empresa Kumio, contó su hallazgo en la conferencia Black Hat en Las Vegas. Según dijo, accedió a varios servidores de comando de los hackers, y en algunos casos los propios atacantes infectaban sus ordenadores con malware —esto dio al investigador acceso a sus estaciones de trabajo y a la correspondencia en Slack y Discord. En total, Stikas analizó alrededor de 5 terabytes de datos.

El principal método de infiltración seguía siendo el esquema de ofertas de trabajo falsas: atraían a los desarrolladores con salarios altos y les pedían, como tarea de prueba, descargar un programa que instalaba sigilosamente código malicioso en el equipo. Esta táctica, conocida como "Entrevista contagiosa", es empleada por los grupos norcoreanos desde 2022.

Entre las organizaciones afectadas Stikas mencionó el Hospital Infantil de Boston, que albergaba una base de datos sobre la salud de estadounidenses durante la pandemia; la empresa japonesa AEON Smart Technology; el fabricante chino de teléfonos Oppo; los servicios de criptomonedas Coinbase y Uniswap Labs; el Consejo Superior de la Magistratura de Italia; una unidad del saudí Al Rajhi Bank; y el gobierno de Flandes en Bélgica.

A pesar del acceso a datos sensibles, los hackers en casi todos los casos se concentraban en las carteras de criptomonedas, ignorando el resto de la información. Marcus Hutchins, analista de la empresa Expel, señaló que esa especialización tan estrecha no es motivo para confiarse: si el grupo mantiene acceso persistente al sistema de la víctima, otro equipo norcoreano de espionaje podría aprovecharlo.

La expansión de los ataques se vio favorecida por contratistas externos comprometidos, que tenían acceso a decenas de empresas: a uno de ellos Stikas le encontró claves para 30 organizaciones. Algunas de las compañías notificadas corrigieron las vulnerabilidades y revocaron las credenciales comprometidas.

Para reducir el riesgo, las empresas deberían verificar con mayor rigor a los contratistas y desarrolladores, limitarles el acceso a los sistemas críticos y no ejecutar programas externos recibidos como tareas de prueba durante el proceso de contratación.