El Tesoro de EE.UU. sanciona al grupo norcoreano de ciberintrusión Kimsuky

El 30 de noviembre de 2023, la Oficina de Control de Activos Extranjeros (OFAC) del Tesoro de Estados Unidos, junto con sus homólogos de Australia, Japón y la República de Corea, anunciaron sanciones contra ocho agentes de Corea del Norte (RPDC) radicados en el extranjero y el grupo de ciberespionaje Kimsuky. Las sanciones se produjeron en respuesta al lanzamiento de un satélite de reconocimiento militar por parte de la RPDC el 1 de noviembre de 2023. Kimsuky fue designado por el Ministerio de Asuntos Exteriores de Corea del Sur (MoFA) en junio de 2023 y se incluyó en un asesoramiento conjunto sobre ciberseguridad entre el Departamento de Estado de EE.UU., la Federal Bureau of Investigation FBI) y la Agencia de Seguridad Nacional (NSA) con socios del Ministerio de Asuntos Exteriores de Corea del Sur, la Agencia Nacional de Policía y el Servicio Nacional de Inteligencia.

‍¿Quées Kimsuky?

Las designaciones se centran específicamente en las capacidades cibernéticas de Corea del Norte. Kimsuky, un grupo de ciberespionaje activo al menos desde 2012, ha centrado sus esfuerzos de recopilación de inteligencia en cuestiones de política exterior y seguridad nacional relacionadas con la península de Corea, la política nuclear y las sanciones. Kimusky, que, según la designación, está subordinado a la Oficina General de Reconocimiento (RGB) designada por la ONU y Estados Unidos, es el principal servicio de inteligencia exterior de la RPDC. Las campañas de ciberespionaje de Kimsuky, según el Tesoro, apoyan directamente las ambiciones estratégicas y nucleares de la RPDC. 

Kimsuky utiliza principalmente el spear-phishing para atacar a personas empleadas por la Administración, centros de investigación, grupos de reflexión, instituciones académicas y medios de comunicación, incluidas entidades de Europa, Japón, Rusia, Corea del Sur y Estados Unidos, y se le ha relacionado con varias cibercampañas. 

‍Uso de criptomonedas por Kimsuky

Corea del Norte fue uno de los primeros en adoptar el uso de criptomonedas para el blanqueo de dinero y, en los últimos cinco años, ha estado atacando el ecosistema de las criptomonedas a una velocidad y escala alarmantes. Por ello, gran parte del debate reciente se ha centrado en el robo de criptomonedas por parte de la RPDC. Por ejemplo, TRM ha informado de que, en los últimos cinco años, los hackers norcoreanos han robado más de 2.000 millones de dólares en criptomonedas en más de 30 ataques.

Dado el tamaño y la escala de la actividad hacker de Corea del Norte, a veces es fácil olvidar que un Estado tan inusual como la RPDC también utiliza técnicas de espionaje cibernético más tradicionales. Las pequeñas cantidades de cripto que se sabe que están vinculadas a Kimsuky están ligadas a usos más operativos que los cientos de millones de cripto que el grupo cibercriminal norcoreano Lazarus Group mueve en cadena. En el gráfico siguiente, los fondos que fluyen de Kimsuky al procesador de pagos se utilizaron muy probablemente para apoyar sus campañas de espionaje en línea. Eso podría incluir la compra de servicios VPN o registros de dominios. 

Aunque el uso de criptomoneda por parte de Kimsuky es relativamente pequeño y se utiliza principalmente para financiar sus operaciones cibernéticas y de espionaje, todo forma parte de una estrategia cibernética y de financiación ilícita más amplia de Corea del Norte que ha implicado ataques de malware, hackeos de la infraestructura de bancos centrales y el robo de miles de millones del ecosistema de criptomonedas. Las acciones de la OFAC y del Ministerio de Asuntos Exteriores de Corea son un paso más para mitigar el riesgo de los grupos cibercriminales de Corea del Norte.