Corea del Norte ataca de nuevo: Grupo respaldado por el régimen secuestra Google Find Hub en audaz robo de datos
El ciberespionaje norcoreano escala a nuevos niveles. Un grupo de hackers vinculado al régimen de Kim Jong-un ha interceptado el servicio Find Hub de Google en una operación que deja al descubierto vulnerabilidades críticas en la infraestructura de Big Tech.
Los analistas de seguridad señalan patrones similares a los ataques Lazarus Group, pero con una sofisticación inédita. Las víctimas incluyen exchanges de criptomonedas y fondos de inversión institucional—porque, claro, ¿dónde si no iban a buscar liquidez estos cibercriminales?
El modus operandi revela una escalada preocupante: ya no solo minan monedas en servidores secuestrados, ahora van directamente a la yugular de los gigantes tecnológicos. ¿El próximo objetivo? Probablemente tu cartera fría, mientras los reguladores siguen discutiendo si el Bitcoin es un activo o una commodity.
Un grupo de ciberseguridad surcoreano afirma que el malware está diseñado para operaciones centradas en Corea.
Según los investigadores, los correos electrónicos de spear-phishing parecen provenir de empresas legítimas, como el Servicio Nacional de Impuestos. Esta táctica engaña a los usuarios para que abran archivos adjuntos maliciosos que contienen troyanos de acceso remoto, como Lilith RAT, que puede tomar el control de los ordenadores infectados y enviar malware adicional.
El atacante puede permanecer oculto en el ordenador comprometido durante más de un año, espiando a través de la webcam y operando el sistema cuando el usuario está ausente. GSC declaró : «En este proceso, el acceso obtenido durante la intrusión inicial permite el control del sistema y la recopilación de información adicional, mientras que las tácticas de evasión permiten el ocultamiento a largo plazo».
Los hackers pueden robar lasdentde las cuentas de Google y Naver de la víctima. Tras obtener las contraseñas robadas de Google, las utilizan para acceder a Google Find Hub y borrar sus dispositivos de forma remota.
Por ejemplo, estos hackers accedieron a una cuenta de correo electrónico de recuperación vinculada a Naver y eliminaron los correos de alerta de seguridad de Google. Además, vaciaron la papelera de la bandeja de entrada para ocultar sus trac.
Los hackers también utilizan un archivo ZIP. Este se propaga mediante una aplicación de mensajería que contiene un paquete malicioso de Microsoft Installer (MSI) llamado “Stress Clear.msi”. Este paquete utiliza una firma legítima proporcionada a una empresa china para autenticar la apariencia de la aplicación. Una vez ejecutada, utiliza un script por lotes para realizar la configuración básica.
Luego ejecuta un script de Visual Basic (VBScript) que muestra un mensaje de error falso sobre un problema de compatibilidad del paquete de idioma mientras los comandos maliciosos se ejecutan en segundo plano.
El malware es similar a Lilith RAT en algunos aspectos, pero se le ha dado el nombre en clave EndRAT (también conocido como EndClient RAT por el investigador de seguridad Ovi Liber) debido a los cambios que se han dent .
Genians afirmó que los actores del grupo APT Konni también utilizaron un script de AutoIt para ejecutar el troyano Remcos RAT versión 7.0.4, cuya existencia fue divulgada públicamente el 10 de septiembre de 2025 por el grupo responsable de su mantenimiento. Actualmente, los hackers están utilizando versiones más recientes del troyano en sus ataques. También se ha detectado Quasar RAT y RftRAT, otro troyano utilizado por Kimsuky en 2023, en los dispositivos objetivo.
La empresa surcoreana de ciberseguridad afirmó: “Esto sugiere que el malware está diseñado para operaciones centradas en Corea y que obtener los datos relevantes y realizar un análisis exhaustivo requiere un esfuerzo considerable”.
El ímpetu de los hackers respaldados por Corea del Norte crece
Este ataque es defiduda una continuación de la campaña Konni APT, que está vinculada a los grupos Kimsuky y APT 37 que cuentan con el respaldo del gobierno de Corea del Norte.
Al mismo tiempo, ENKI reveló que el Grupo Lazarus utilizó una versión actualizada del malware Comebacker en ataques contra empresas de defensa y aeroespaciales, empleando documentos de Microsoft Word especialmente diseñados como señuelo en una operación de espionaje. Se hacían pasar por empleados de Airbus, el Grupo Edge y el Instituto Indio de Tecnología de Kanpur para engañar a la gente.
Mientras tanto, según informa Cryptopolitan, la viceministra segunda de Asuntos Exteriores, Kim Ji-na, anunció que Corea del Sur está considerando sanciones contra Corea del Norte por el desenfrenado crimen con criptomonedas, y que la cooperación con Estados Unidos es fundamental.
Si estás leyendo esto, ya estás al tanto. Sigue leyendo nuestro boletín .
