Se ha observado que el actor de amenazas vinculado a Corea del Norte conocido como Kimsuky utiliza una nueva táctica que consiste en engañar a los objetivos para que ejecuten PowerShell como administrador y luego les ordena que peguen y ejecuten el código malicioso proporcionado por ellos.
«Para ejecutar este plan, el actor de amenazas se hace pasar por un funcionario del gobierno de Corea del Sur y, con el tiempo, establece una relación con un objetivo antes de enviar un correo electrónico de phishing con un archivo PDF adjunto», dijo el equipo de Inteligencia de Amenazas de Microsoft en una serie de publicaciones compartidas en X.
Para leer el supuesto documento PDF, se convence a las víctimas de que hagan clic en una URL que contiene una lista de pasos para registrar su sistema Windows. El enlace de registro les insta a iniciar PowerShell como administrador y copiar/pegar el fragmento de código que se muestra en la terminal y ejecutarlo.
Si la víctima sigue adelante, el código malicioso descarga e instala una herramienta de escritorio remoto basada en navegador, junto con un archivo de certificado con un PIN codificado de un servidor remoto.
El gigante tecnológico dijo que observó el uso de este enfoque en ataques limitados desde enero de 2025, describiéndolo como una desviación de la técnica habitual del actor de la amenaza.
Vale la pena señalar que Kimsuky no es el único grupo de piratas informáticos norcoreanos que adopta la estrategia de compromiso. En diciembre de 2024, se reveló que los actores de amenazas vinculados a la campaña Contagious Interview están engañando a los usuarios para que copien y ejecuten un comando malicioso en sus sistemas macOS de Apple a través de la aplicación Terminal para abordar un supuesto problema con el acceso a la cámara y el micrófono a través del navegador web.
Este tipo de ataques, junto con los que han adoptado el método denominado ClickFix, han despegado a lo grande en los últimos meses, en parte impulsados por el hecho de que dependen de que los objetivos infecten sus propias máquinas, eludiendo así las protecciones de seguridad.
El desarrollo se produce cuando el Departamento de Justicia de Estados Unidos (DoJ) dijo que una mujer de 48 años del estado de Arizona se declaró culpable de su papel en el esquema fraudulento de trabajadores informáticos que permitió a los actores de amenazas norcoreanos obtener trabajos remotos en más de 300 empresas estadounidenses haciéndose pasar por ciudadanos y residentes estadounidenses.
La actividad generó más de 17,1 millones de dólares en ingresos ilícitos para Christina Marie Chapman y para Corea del Norte en violación de las sanciones internacionales entre octubre de 2020 y octubre de 2023, dijo el departamento.
La acusada, que fue arrestada en mayo de 2024, también ha sido acusada de administrar una granja de computadoras portátiles al alojar varias computadoras portátiles en su residencia para dar la impresión de que los trabajadores norcoreanos trabajaban desde dentro del país, cuando, en realidad, estaban radicados en China y Rusia y conectados de forma remota a los sistemas internos de las empresas.
Como resultado de la conducta de Chapman y sus conspiradores, más de 300 empresas estadounidenses se vieron afectadas, más de 70 identidades de personas estadounidenses se vieron comprometidas, en más de 100 ocasiones se transmitió información falsa al DHS y más de 70 personas estadounidenses tuvieron obligaciones fiscales falsas creadas en su nombre.
El mayor escrutinio de las fuerzas del orden ha llevado a una escalada del esquema de trabajadores de TI, con informes emergentes de exfiltración de datos y extorsión.