Actores de amenazas vinculados con Corea del Norte han intensificado sus esfuerzos de phishing con una serie de campañas diseñadas para robar credenciales de investigadores, instituciones financieras y funcionarios corporativos.
Investigaciones recientes revelan que estos ataques implican cambiar los orígenes, hacerse pasar por instituciones de confianza y adoptar estrategias libres de malware para evitar ser detectados.
Las campañas, que se cree que están vinculadas al grupo Kimsuky, inicialmente utilizaban dominios de correo electrónico japoneses, pero en septiembre de 2024 cambiaron a dominios rusos. Al aprovechar estas direcciones de remitente rusas inventadas, los atacantes buscaron ocultar sus rastros mientras atacaban a las víctimas con mensajes engañosos diseñados para parecer notificaciones urgentes.
Según un nuevo aviso de la empresa de ciberseguridad surcoreana, Genians, los intentos de phishing se han vuelto cada vez más sofisticados.
En lugar de entregar archivos maliciosos, estas campañas emplean phishing de URL, dirigiendo a los destinatarios a sitios web fraudulentos donde se roban credenciales confidenciales. Los investigadores destacaron que la falta de malware hace que estos ataques sean más difíciles de detectar utilizando filtros de seguridad de correo electrónico convencionales.
La suplantación de identidad juega un papel central en la estrategia. Los casos recientes incluyeron mensajes disfrazados como provenientes del «Secretario Nacional» de Corea o instituciones financieras, pidiendo a los destinatarios que revisaran documentos electrónicos supuestamente urgentes. Muchos de estos sitios de phishing estaban alojados en dominios registrados a través de MyDomain[.]Korea, un servicio local del que abusan con frecuencia los actores de amenazas.
Un análisis más detallado de los correos electrónicos reveló manipulaciones inteligentes, incluidos dominios rusos inventados como mmbox[.]ru y ncloud[.]ru. Sin embargo, los datos forenses confirmaron que muchos correos electrónicos se enviaron desde Corea, aprovechando lagunas en los servicios de registro de dominios locales.
Estos cambios demuestran un esfuerzo concertado por parte de los actores de amenazas para evadir la detección por parte de las soluciones de seguridad y los analistas que rastrean sus movimientos.
Si bien el phishing sin malware puede parecer menos peligroso, su potencial de daño es significativo. Las credenciales comprometidas pueden provocar ataques secundarios, violaciones de datos y daños a la reputación de las víctimas y sus organizaciones asociadas.
Los expertos en seguridad recomiendan que las organizaciones tomen medidas inmediatas para contrarrestar tales amenazas. Los sistemas de detección y respuesta de endpoints (EDR) deben actualizarse con los últimos indicadores de compromiso (IoC), como dominios de phishing y direcciones IP sospechosas vinculadas a estas campañas.
Los empleados también deben recibir capacitación para reconocer los intentos de phishing y verificar los correos electrónicos sospechosos antes de interactuar con ellos.