GitHub se convirtió en centro de operaciones: Kaspersky revela una nueva campaña de hackers norcoreanos

La empresa Kaspersky Lab reveló la operación FlashHole, en la que los atacantes convirtieron GitHub en un canal de mando y control para equipos infectados. Los ataques afectaron al menos a tres empresas en Corea del Sur de los sectores de desarrollo de software, construcción y fabricación de equipos de comunicaciones por cable. Los investigadores, con confianza moderadamente alta, atribuyen la campaña al grupo norcoreano Lazarus.

La víctima primero era conducida hacia la infección mediante phishing dirigido. Al empleado se le enviaba un enlace a una página de GitHub Pages preparada a medida: en un caso el sitio simulaba el currículum de un desarrollador experimentado de equipos de red, en otro mostraba el portafolio de una diseñadora de interiores. Las huellas de FlashHole se remontan al menos a julio de 2025.

Parte de los señuelos probablemente fue preparada con ayuda de IA. En la página con el currículum los investigadores encontraron la fotografía del supuesto candidato sin metadatos y con indicios de haber sido generada, y el portafolio estaba lleno de detalles extraños y nombres aleatorios de empresas. Tras crear el borrador, los atacantes, según la evaluación de Kaspersky, modificaban manualmente la página para adaptarla a un objetivo concreto.

El momento exacto de la activación del código malicioso aún no se ha establecido. El análisis indica que la visita a la página preparada podría haber iniciado una cadena a través de INISAFE CrossWeb EX V3, un programa de protección que se utiliza en Corea del Sur al trabajar con algunos servicios bancarios y estatales. Kaspersky evalúa este escenario con confianza moderadamente alta.

Tras la intrusión, el código malicioso procuró escribir lo menos posible en disco y ejecutó los componentes principales directamente en la memoria de Windows. Para persistir, los atacantes utilizaron la suplantación en la carga de DLL y luego lanzaron por fases TechHub, TouchHub, TouchShift, ClientHub, LPEClient y Cubridge. El último componente podía descargar herramientas adicionales, operar con archivos y procesos y ejecutar código en el equipo infectado.

La parte más inusual de FlashHole comienza después del lanzamiento de TechHub. En lugar de un servidor de mando independiente, el programa se conectaba a un repositorio privado a través de la API de GitHub. Cada equipo infectado recibía un identificador propio, después el malware creaba una tarea en el repositorio, intercambiaba claves, enviaba información del sistema y esperaba comandos. GitHub funcionaba de facto como centro de mando, por lo que el intercambio malicioso se camuflaba entre el tráfico habitual de un servicio popular.

Kaspersky detectó no menos de tres repositorios principales para gestionar TechHub y otro de reserva. Los investigadores consideran que Lazarus utilizó GitHub para estas tareas al menos desde julio de 2025. Los repositorios se esforzaban por parecer proyectos normales, y las cuentas, al parecer, se registraron con buzones de correo comprometidos.

La infraestructura no terminaba en GitHub. Una versión de ClientHub podía recibir comandos vía Dropbox, y otros componentes consultaban sitios legítimos comprometidos. Ese esquema daba a los operadores varias vías hacia la máquina infectada y complicaba bloquear toda la infraestructura con una sola acción.

LPEClient añadió a la cadena otro detalle poco habitual en el malware. Para el intercambio de claves, los desarrolladores implementaron ML-KEM-1024, un mecanismo estandarizado por NIST en el ámbito de la criptografía poscuántica. El algoritmo ayuda a proteger el intercambio de claves incluso frente a posibles ataques cuánticos futuros. En FlashHole se empleó antes de la obtención de los siguientes módulos maliciosos.

Kaspersky asignó FlashHole a Lazarus por la combinación de señales: el conjunto de herramientas, el esquema de infección multinivel, la selección de objetivos y el uso de LPEClient, que ya había aparecido en campañas anteriores del grupo. Los investigadores consideran que el objetivo principal de FlashHole fue el espionaje y admiten que el número real de organizaciones afectadas probablemente supera con creces los tres casos confirmados.