Las amenazas norcoreanas siguen apuntando a las empresas de criptomonedas

BlueNoroff, una organización cibercriminal profesional norcoreana con vínculos con el infame grupo Lazarus, está atacando a pequeñas y medianas empresas de criptomonedas en una campaña llamada "SnatchCrypto", según un nuevo informe de Kaspersky, una empresa de ciberseguridad. Según el detallado informe, BlueNoroff, patrocinado por el estado, fue identificado por primera vez por Kaspersky "mientras investigaba el notorio ataque al Banco Central de Bangladesh allá por 2016." Según Kaspersky, "el grupo parece funcionar más como una unidad dentro de una formación más grande de atacantes Lazarus, con la capacidad de aprovechar sus vastos recursos: ya sean implantes de malware, exploits o infraestructura." Más recientemente, el grupo ha desviado su atención de atacar bancos a startups de criptomonedas. "Estos atacantes incluso tomaron el largo camino de construir falsas empresas de desarrollo de software de criptomoneda con el fin de engañar a sus víctimas para que instalen aplicaciones de aspecto legítimo que finalmente reciben actualizaciones backdoored." Los ataques son sofisticados, están bien planificados y se basan en ingeniería social dirigida. El informe de Kaspersky analiza una serie de ataques a criptoempresas y los op sec utilizados.

Los informes indican que los operadores de BlueNoroff están acechando y estudiando startups de criptomoneda de éxito para llevar a cabo estos ataques. El objetivo del equipo de infiltración del atacante es construir un mapa de interacciones entre individuos y comprender posibles temas de interés de la víctima. Esto permite a los atacantes montar ataques de ingeniería social de alta calidad que a la víctima le parecen interacciones totalmente normales. Es poco probable que un documento enviado de un colega a otro sobre un tema que ya se estaba debatiendo desencadene sospechas. BlueNoroff compromete a las empresas mediante esta identificación precisa de las personas necesarias y los temas que están discutiendo en un momento dado.

Corea del Norte lleva mucho tiempo realizando ciberataques contra empresas de criptomoneda. De hecho, ha creado varios equipos profesionales -conocidos colectivamente por observadores externos como el Grupo Lazarus- para dedicarse a esta actividad. Corea del Norte está, en la mayoría de los aspectos, aislada del sistema financiero mundial por una larga campaña de sanciones por parte de Estados Unidos y sus socios extranjeros. Como resultado, se han lanzado al campo de batalla digital para robar criptomonedas, básicamente robos bancarios a la velocidad de Internet, con el fin de financiar programas de armamento, la proliferación nuclear y otras actividades desestabilizadoras. Los incentivos económicos son poderosos; cientos de millones de dólares en puros beneficios representan una parte enorme de los ingresos totales en divisas de Corea del Norte, especialmente en su período posterior a COVID de mayor aislamiento comercial.

En febrero del año pasado, el Department of Justice de Estados Unidos dio a conocer una acusación contra piratas informáticos norcoreanos que, línea por línea, exponía un plan muy específico y sofisticado para utilizar la ingeniería social, las estafas de ICO y otros métodos para violar los sistemas de ciberseguridad, infiltrarse en empresas de criptomoneda y robar fondos a una velocidad y escala sin precedentes. TRM proporciona el análisis aquí.

¿Cómo lo hace Corea del Norte?

Como se detalla en algunos informes recientes, los piratas informáticos norcoreanos suelen realizar campañas muy selectivas y sofisticadas contra posibles víctimas. Estas operaciones suelen durar meses, ya que los hackers observan cuidadosamente las actividades del objetivo y esperan hasta el momento oportuno para atacar. Gracias a las denuncias y acusaciones federales desclasificadas, conocemos incluso los nombres de algunos de los artífices de estos ataques, como Pak Jin-hyok, Jon Chang-hyok y Kim Il. Dicho esto, los hackers norcoreanos no se enfrentan a ninguna amenaza real de extradición, por lo que pueden asumir riesgos que otros hackers no pueden. Por ejemplo, aunque vemos que utilizan servicios de mezcla, intercambios no conformes y otras técnicas de ofuscación en la cadena, muchas veces Lazarus se limitará a mover los fondos al descubierto lo más rápidamente posible, porque la clave es la rapidez para salir de una rampa más que la preocupación por ocultar las transacciones.

¿Cómo están respondiendo las fuerzas del orden a los ataques contra criptoempresas?

Además de las acusaciones contra los ciberdelincuentes norcoreanos, la administración ha dejado claro que los ataques de ransomware y malware son un problema cibernético, no un problema criptográfico. Por eso se ha centrado en trabajar con las empresas de criptomonedas para reforzar las ciberdefensas. La ingeniería social es la principal causa de los ataques de malware. Los ataques de BlueNoroff son un gran ejemplo de ello. Los ataques son sofisticados, selectivos y se centran en las vulnerabilidades humanas, de las que se aprovechan. Educar a los empleados es fundamental.

Los organismos reguladores y las fuerzas de seguridad también han publicado orientaciones clave para el sector privado sobre cómo crear programas de cumplimiento para mitigar los riesgos del ransomware y la financiación ilícita. Por ejemplo, la OFAC publicó en octubre unas directrices exhaustivas para el sector de las criptomonedas. Al tiempo que colaboran con el sector privado para reforzar las ciberdefensas, las fuerzas de seguridad y los reguladores han atacado a los agentes ilícitos que facilitan el pago de rescates. Por ejemplo, la OFAC emprendió recientemente una acción sancionadora contra las bolsas de criptomonedas rusas SUEX y Chatex por facilitar el pago de rescates, y el Department of Justice de Estados Unidos presentó cargos penales contra los servicios de mezcla de la darknet Helix y Bitcoin Fog. Es probable que las autoridades persigan esta parte ilícita de la economía lícita de las criptomonedas, que está creciendo de forma abrumadora, y también deberíamos esperar que se centre la atención en trabajar con el sector privado para reforzar las ciberdefensas.

¿Qué nos depara el futuro?

La creciente penetración de las criptomonedas en los círculos de inversión dominantes y en la vida de la gente corriente ofrece a los diversos grupos de piratas informáticos de Corea del Norte unos objetivos lucrativos y cada vez más amplios. A medida que asistimos al rápido crecimiento de la criptoeconomía, es probable que Corea del Norte siga interesada en atacar a las empresas de criptomonedas que son jóvenes y están creando ciberdefensas y controles contra el blanqueo de capitales. También veremos un enfoque continuo y sostenido de las fuerzas de seguridad y los reguladores en la mitigación de esta amenaza.

‍