Cisco Talos: Nueva amenaza norcoreana ’PylangGhost’ ataca a trabajadores de cripto a través de sitios de empleo falsos
La organización de inteligencia sobre amenazas de Cisco, Cisco Talos, ha detectado un nuevo malware basado en Python llamado 'PylangGhost'. Está vinculado al grupo de hackers norcoreano Famous Chollima.
Según una publicación reciente de Cisco Talos, el PylangGhost es utilizado exclusivamente por actores de ciberamenazas afiliados a Corea del Norte para infiltrarse en el hardware de personas que buscan empleo en la industria cripto.
PylangGhost es un nuevo tipo de troyano de acceso remoto basado en Python que funciona de manera similar al GolangGhost RAT documentado previamente y descubierto por Cisco Talos en diciembre de 2024.
Recientemente, la firma de ciberseguridad encontró que ha sido utilizado activamente por el grupo de hackers Famous Chollima para infiltrarse en sistemas Windows, mientras continúa desplegando una versión basada en Golang para usuarios de MacOS. Hasta ahora, datos de código abierto indican que la mayoría de las víctimas afectadas por el malware están en India.
Famous Chollima también es apodado 'Wagemole' debido a sus repetidos intentos de robar contraseñas, infiltrarse en billeteras de criptomonedas de los usuarios y obtener información sensible a través de ofertas de empleo falsas en línea.
¿Cómo atrapan a sus víctimas los hackers norcoreanos?
Según el informe, el grupo de hackers atrae a sus víctimas mediante campañas falsas de entrevistas de trabajo usando ingeniería social. Los atacantes crean sitios de empleo falsos que suplantan a grandes empresas cripto, incluyendo Coinbase, Robinhood y Uniswap, entre otras.
Las víctimas son luego requeridas para participar en múltiples pasos, iniciados por reclutadores falsos. Se les invita a abrir sitios web fraudulentos de pruebas de habilidades donde se recopila su información personal.
Al prepararse para la entrevista falsa, el usuario es engañado para permitir que el sitio acceda a su cámara y micrófono. Durante esta fase, el reclutador falso les pedirá que copien y ejecuten comandos maliciosos bajo el pretexto de instalar controladores de video actualizados.
Al ejecutar el comando, el malware logra infiltrarse en su dispositivo. Este comando permite el control remoto del dispositivo infectado y otorga a los atacantes acceso a cookies y credenciales de más de 80 extensiones de navegador.
Esto incluye acceso a gestores de contraseñas y billeteras de criptomonedas como MetaMask, 1Password, NordPass, Phantom, Bitski, Initia, TronLink y MultiverseX.
Como se informó anteriormente en abril, otro grupo de hackers norcoreanos, Lazarus Group, también ha utilizado métodos similares para atraer usuarios. Los atacantes desplegarían aplicaciones de empleo falsas con al menos tres variantes de malware vinculadas a operaciones cibernéticas norcoreanas.
Traducido por ChainWolfX
