**Ciberdelincuentes norcoreanos escalan ataques a ejecutivos de criptomonedas con vídeos robados y avatares IA**

—

### 1. Introducción

Durante los últimos meses, se ha observado un preocupante repunte en las campañas de ciberataques dirigidas específicamente a ejecutivos y responsables de empresas del sector de las criptomonedas. Grupos de amenaza persistente avanzada (APT) vinculados al gobierno norcoreano han intensificado el uso de técnicas de ingeniería social altamente sofisticadas, apoyándose en la manipulación de vídeos robados, avatares generados por inteligencia artificial y la simulación de videollamadas a través de plataformas como Zoom. Estas tácticas buscan comprometer la seguridad de los activos digitales y acceder a información crítica de organizaciones clave del ecosistema cripto.

—

### 2. Contexto del Incidente

El grupo norcoreano Lazarus, conocido por su historial de ataques contra el sector financiero y empresas tecnológicas, ha evolucionado su modus operandi incorporando estrategias de suplantación digital avanzada. Según fuentes de inteligencia, los atacantes han robado vídeos de víctimas previas y los han combinado con deepfakes y avatares sintéticos creados mediante IA, con el objetivo de engañar a ejecutivos de criptomonedas durante entrevistas de trabajo, reuniones de negocio y auditorías virtuales.

Esta ola de ataques, detectada a finales de 2023 y extendida en el primer semestre de 2024, afecta principalmente a empresas con operaciones internacionales y grandes volúmenes de activos digitales. El principal vector de ataque es la simulación de procesos de selección o acuerdos empresariales, en los que los atacantes buscan escalar privilegios y obtener acceso a carteras o sistemas internos.

—

### 3. Detalles Técnicos: CVEs, Vectores de Ataque y TTP

El ataque se caracteriza por una combinación de vectores técnicos y tácticas de ingeniería social:

– **CVE y vectores**: Aunque el ataque es principalmente social, se han detectado exploits que abusan de vulnerabilidades conocidas en clientes de Zoom (como CVE-2022-22787) y plugins de vídeo con fallos de validación en la autenticidad de las transmisiones.
– **TTP (Técnicas, Tácticas y Procedimientos – MITRE ATT&CK)**:
– **Spearphishing vía servicios (T1566.003)**: Envío de invitaciones falsas a reuniones.
– **Impersonation (T1036)**: Uso de deepfakes y avatares IA para simular identidad visual y vocal.
– **Valid Accounts (T1078)**: Aprovechamiento de credenciales filtradas para acceder a sistemas corporativos.
– **Command and Control via Video Calls (T1102.002)**: Uso de canales de videollamada para ejecutar payloads o distribuir enlaces maliciosos.
– **Herramientas y frameworks**: Se ha identificado el uso de Metasploit para la creación de payloads y la explotación de sistemas, así como variantes personalizadas de Cobalt Strike para persistencia y movimiento lateral.
– **Indicadores de Compromiso (IoC)**: Dominios falsificados, direcciones IP asociadas a infraestructura norcoreana, hashes de ejecutables maliciosos y patrones de comunicación encriptados durante las videollamadas.

—

### 4. Impacto y Riesgos

El impacto de estos ataques es significativo y multifacético:

– **Pérdida de activos**: Se estima que al menos tres empresas han sufrido robos superiores a los 30 millones de dólares en criptomonedas durante el último trimestre.
– **Exposición de datos sensibles**: Acceso no autorizado a información confidencial sobre estrategias de inversión, arquitectura de wallets y claves privadas.
– **Compromiso de la cadena de suministro**: Posible infiltración en proveedores tecnológicos y plataformas de custodia.
– **Implicaciones legales**: Riesgo de sanciones bajo el GDPR y la Directiva NIS2, especialmente por incumplimiento en la protección de datos personales y la falta de medidas suficientes de autenticación.

—

### 5. Medidas de Mitigación y Recomendaciones

Para mitigar este tipo de amenazas, se recomienda:

– **Verificación multifactor**: Reforzar los procesos de autenticación en todas las plataformas de comunicación y acceso a sistemas críticos.
– **Capacitación y concienciación**: Formación específica para ejecutivos y responsables de RRHH sobre riesgos de deepfakes y suplantación digital.
– **Monitorización de videollamadas**: Implementar soluciones de detección de anomalías en transmisiones de vídeo, incluyendo análisis forense de frames y patrones de voz.
– **Actualización de software**: Parcheo inmediato de clientes de videollamada y plugins asociados.
– **Análisis de IoC**: Integración de indicadores de compromiso en SIEM y herramientas EDR para identificación temprana de actividad sospechosa.

—

### 6. Opinión de Expertos

Según José Manuel Ortega, analista de ciberamenazas y colaborador habitual de la comunidad Blue Team España: “Estamos ante una sofisticación sin precedentes en el uso de IA para la suplantación de identidad. La capacidad de los atacantes para escalar rápidamente y automatizar ataques mediante deepfakes supone un reto añadido para la seguridad corporativa. Es fundamental que las organizaciones inviertan en tecnologías de detección de vídeo falso y refuercen sus políticas de verificación de identidad”.

—

### 7. Implicaciones para Empresas y Usuarios

Para las empresas del sector cripto y fintech, este tipo de amenazas pone de manifiesto la necesidad de revisar los protocolos de acceso remoto y los procesos de onboarding digital. Los usuarios, especialmente aquellos con altos privilegios, deben extremar la cautela ante cualquier contacto no solicitado y verificar siempre la legitimidad de las personas al otro lado de la pantalla.

El incumplimiento de las normativas europeas puede acarrear multas de hasta 20 millones de euros o el 4% de la facturación anual global, según el GDPR, y sanciones adicionales conforme a la Directiva NIS2 para infraestructuras críticas.

—

### 8. Conclusiones

La evolución del arsenal de los grupos APT norcoreanos, combinando técnicas de ingeniería social, inteligencia artificial y explotación de vulnerabilidades, marca un antes y un después en la lucha contra el fraude digital en el sector de las criptomonedas. La rápida adopción de medidas proactivas y la concienciación interna serán claves para contener el impacto de estos ataques y proteger los activos digitales en un entorno cada vez más hostil.

(Fuente: www.darkreading.com)