Lazarus, el grupo cibercriminal al servicio de Corea del Norte que roba y espía a occidente

Así lo demuestra el reciente golpe que se llevó la empresa de videojuegos Axie Infinity , que perdió más de 600 millones de euros por culpa de un ciberataque que, según el Gobierno de EE.UU., fue desarrollado por esta banda. Más allá de este ataque, el grupo ha dedicado los últimos meses ha lanzar campañas dirigidas para el robo de información y occidente contra empresas y usuarios occidentales. Entre ellos, contratistas aeroespaciales y de defensa, según compartió recientemente la empresa de ciberseguridad ESET en su evento anual ESET World .

Corea del Norte no es una excepción. Muchos países mantienen relaciones más o menos estrechas con grupos cibercriminales que operarían con su consentimiento, entre ellos, según apuntan profesionales del sector de la ciberseguridad , se encuentran China , Rusia o EE.UU. Habitualmente, cuando es un estado el que patrocina el ataque, este está dirigido, en concreto, al robo de información. Sin embargo, en el caso de Corea del Norte y Lazarus, el objetivo también puede ser económico.

«Corea del Norte es un país que sufre muchas sanciones económicas por parte de la comunidad internacional. El país tiene que buscar otras formas de financiarse, y el robo de criptomonedas (difíciles de rastrear) les ha permitido durante los últimos años aliviar los efectos de las medidas que se toman contra ella», explica en conversación con ABC Josep Albors, jefe de investigación de ESET.

No obstante, la banda no descuida el espionaje . El año pasado, fue acusada de intentar 'hackear' a Pfizer con el objetivo de robar información relacionada con la vacuna contra el Covid desarrollada por la empresa. Corea del Sur también llamó la atención sobre sus intentonas para extraer datos de este tipo.

Durante 2021 y los primeros meses de 2022, el grupo cibercriminal ha estado, además, desarrollando campañas destinadas a robar información a contratistas de defensa de todo el mundo. De acuerdo con su telemetría, ha realizado ataques contra trabajadores de empresas que operan dentro de este ámbito ubicados en estados europeos (entre ellos España), orientales e hispanoamericanos. Para conseguir llegar hasta ellos, la banda criminal se sirve de plataformas sociales como LinkedIn , WhatsApp y Slack .

«Ellos identifican a los trabajadores de la empresa objetivo y contactan con ellos haciéndose pasar por reclutadores, normalmente de firmas de importante renombre», señala Albors sobre el funcionamiento de estas campañas en LinkedIn. El objetivo final de Lazarus es que, después de haberse ganado la confianza de las víctimas, estas pulsen un enlace que descargue código malicioso con el que acceder a la información almacenada en el equipo afectado. Todo el proceso está desarrollado por humanos, el grupo no recurre a bots conversacionales.

Cuando emplean WhatsApp, según señala Albors, Lazarus ya cuenta con el número de teléfono de la víctima: «Lo que intentan es contactar con ellos directamente. En el caso de Slack, estamos hablando de una plataforma para la organización del trabajo, allí pueden agregar a personas y contactar con ellos para intentar robarles información».