Imagina dedicar meses a desarrollar un nuevo y reluciente kit de malware para atacar a ejecutivos y desarrolladores de alto perfil. Te crees el amo del calabozo digital, hasta que un buen día… alguien te hackea a ti. Eso es exactamente lo que les ha pasado a los temidos piratas informáticos norcoreanos, quienes han probado una buena dosis de su propia y maliciosa medicina.
El cazador cazado: hackers en apuros
El grupo de atacantes vinculado a Corea del Norte, conocido como Lazarus, había estado utilizando tácticas de ingeniería social para engañar a líderes empresariales en sectores jugosos como las fintech y las criptomonedas. ¿Su modus operandi? Contactar a sus víctimas por Telegram e invitarlas a falsas reuniones de Zoom, Teams o Google Meet.
Al iniciar la llamada, simulaban problemas técnicos y pedían a la víctima que copiara y pegara «una solución» en su terminal de macOS. Un engaño clásico conocido como ClickFix, donde el usuario instala su propio verdugo digital sin darse cuenta.
«Mach-O Man»: un malware peligroso pero chapucero
El investigador de seguridad Mauro Eldritch, fundador de BCA LTD, analizó esta nueva amenaza y la bautizó con humor como «Mach-O Man», por su uso de binarios nativos Mach-O de macOS. Aunque lograba robar credenciales y sesiones de navegador, el código dejaba mucho que desear. De hecho, según los expertos, estaba tan mal escrito que algunos componentes entraban en bucles infinitos, delatando su presencia al consumir todos los recursos del sistema.
A pesar de sus fallos, el proceso del ataque se dividía en cuatro fases clave:
- El Engaño: El comando inicial descarga un falso ejecutable que se hace pasar por Zoom o Teams, pidiendo la contraseña al usuario varias veces.
- El Perfilador: En segundo plano, se registra el ordenador de la víctima y se envían detalles del sistema a los servidores de los atacantes.
- La Persistencia: El malware se disfraza de OneDrive para iniciarse automáticamente cada vez que el usuario enciende el Mac.
- El Ladrón: Se capturan contraseñas, cookies, datos del llavero de macOS y se envían en un archivo ZIP a través de un bot de Telegram, para luego autodestruirse.
El peor fin de semana para los piratas norcoreanos
Aquí es donde la historia se vuelve deliciosa. Eldritch no solo desarmó el malware, sino que encontró dos vulnerabilidades críticas en la infraestructura de los propios hackers.
Primero, descubrió una carpeta en el servidor de mando y control (C2) que permitía subir archivos sin ninguna autenticación. Y segundo, ¡habían dejado expuesto el token de la API de su bot de Telegram! Básicamente, dejaron las llaves de casa puestas por fuera de la puerta.
«Esto podría permitir a prácticamente cualquiera hacerse pasar por el malware e inundar su infraestructura con archivos producidos en masa hasta que sus servicios queden inutilizables», comentó con ironía el investigador.
Y vaya si lo hicieron. Con unas pocas líneas de código, el investigador demostró cómo enviar peticiones falsas en bucle, suplantando a los hackers y volviendo loco a su propio servidor.
¿El resultado? Los canales de los atacantes norcoreanos empezaron a sufrir una inundación de spam, colapsando tanto las vías de entrada como de salida y provocando lo que Eldritch describió como «su peor apagón de fin de semana del año».
La amenaza sigue ahí fuera
Aunque resulta increíblemente satisfactorio ver a los ciberdelincuentes tropezar con sus propios cordones, los investigadores advierten que no debemos bajar la guardia. Los atacantes norcoreanos son persistentes y dependen de que los usuarios bajen la guardia ante escenarios que parecen familiares y urgentes.
Así que ya sabes, la próxima vez que alguien te pida en una videollamada que pegues un código raro en tu terminal para «arreglar el micro»… mejor dile que prefieres comunicarte por señales de humo.
