Cómo quedaron expuestas las tácticas norcoreanas de robo de credenciales a través del dump "Kim"

• Recientemente, a través del incidente del dump "Kim", se revelaron las tácticas norcoreanas de robo de credenciales
• Los hackers norcoreanos utilizan activamente sitios de phishing y técnicas de ingeniería social
• Toman como principales objetivos a países occidentales y empresas de TI
• El método de ataque está relacionado principalmente con el robo de información de cuentas de correo electrónico
• A raíz de esta revelación, la alerta de seguridad está aumentando en varias empresas de EE. UU. y otros países

---

Resumen del incidente del dump “Kim”

• A través del reciente incidente del dump "Kim", se reveló que Corea del Norte llevó a cabo de forma planificada actividades de robo masivo de credenciales
• Este volcado de datos fue compartido en varias plataformas de TI y comunidades, dejando al descubierto las tácticas concretas del ataque

Principales métodos de hackeo de Corea del Norte

• Los grupos de hackers norcoreanos recopilan información de inicio de sesión de los usuarios mediante correos de phishing y sitios web falsos similares a los legítimos
• Estos sitios de phishing se construyen para parecerse mucho a los reales, de modo que cuando la víctima introduce la información de su cuenta, el robo se produce automáticamente
• También emplean activamente técnicas de ingeniería social para explotar vulnerabilidades psicológicas de los usuarios

Objetivos y propósito del ataque

• Los principales objetivos son empresas de TI y organizaciones relacionadas con la seguridad en Occidente, sobre todo en EE. UU. y Europa
• Dentro de las organizaciones, el foco se pone en personal con altos privilegios de acceso, como responsables de recursos humanos, desarrolladores y administradores de sistemas
• Se confirmó que el propósito de las credenciales robadas es acceder a información interna y asegurar rutas adicionales para nuevos ataques

Implicaciones de seguridad e impacto

• El dump "Kim" permite observar el método de ataque real de Corea del Norte y cómo están evolucionando sus tácticas
• En la industria global de TI, se está intensificando el debate sobre el refuerzo de la seguridad y la revisión de las políticas de gestión de credenciales
• Las empresas e instituciones relacionadas están reforzando el monitoreo en tiempo real y la capacitación de respuesta al phishing

Conclusión y desafíos a futuro

• La actividad de los grupos de hackers norcoreanos sigue evolucionando, y están apareciendo métodos cada vez más sofisticados
• Es necesario fortalecer la conciencia de seguridad entre los profesionales de TI y en toda la organización, además de construir un sistema de respuesta multicapa

[GN⁺]

Opiniones en Hacker News

• Creo que los hackers responsables de esta filtración son precisamente estas personas; vean este artículo en phrack.org

  • Se puede ver la clásica visión elitista del hacker: "Soy un hacker, y soy lo opuesto a ustedes. En mi mundo todos son iguales. No tenemos color de piel, nacionalidad ni fines políticos, y no somos esclavos de nadie". Pero ese espacio donde "todos son iguales" es una fantasía que solo funciona bien para cierto tipo de personas

• Lo interesante de este caso es que DPRK (Corea del Norte) y PRC (China) están conectadas. Es difícil saber qué tan profunda es la coordinación entre ambos, pero claramente no son totalmente independientes. Me pregunto si este señalamiento público hará más difícil que la PRC niegue su implicación con la DPRK y con sus propias actividades

  • Aunque Pekín esté descontento con las acciones de Pyongyang, Corea del Norte es estratégicamente demasiado importante para China como para que su apoyo se tambalee o intenten ocultarlo
  • Por ahora no parece haber una prueba definitiva que vuelva imposible que la PRC niegue su participación
  • Que China apoye a Corea del Norte ya no es un secreto, y está a un nivel similar al apoyo de EE. UU. a Corea del Sur. Viendo la ubicación geopolítica, China tiene una justificación aún mayor. Para entender este contexto conviene revisar la Monroe Doctrine. La crisis de los misiles en Cuba en realidad se entiende mejor como la crisis de los misiles en Turquía. Cuando EE. UU. desplegó misiles nucleares Jupiter en Turquía, la URSS respondió desplegando los suyos en Cuba. Al final el mundo estuvo al borde de una guerra mundial, pero la URSS retrocedió y, en privado, también se retiraron los misiles en Turquía. Ver Monroe Doctrine y información sobre los misiles Jupiter
  • En la comunidad de ciberseguridad la conexión China-Corea del Norte es bien conocida. China fue el primer país del mundo en crear oficialmente una unidad cibernética militar. Corea del Norte siguió ese camino con fines de lucro e incluso consiguió bienes raíces como hoteles en China continental para usarlos como bases operativas. China además funciona en la práctica como una especie de “lavandería”, recibiendo dólares del comercio con Corea del Norte y suministrando recursos

• Se dice que en los datos filtrados se usaron repositorios de GitHub para herramientas ofensivas como TitanLdr, minbeacon, Blacklotus y CobaltStrike-Auto-Keystore. Me pregunto por qué GitHub permite el desarrollo de este tipo de herramientas ofensivas. No sé si es solo un tema de libertad de expresión o si estas herramientas también tienen valor académico

  • Estas herramientas se usan con frecuencia en pruebas de penetración y trabajo de red team. Prohibirlas públicamente solo haría que los defensores no conozcan los métodos de los atacantes, sin realmente frenar a los hackers maliciosos. Es una conclusión que ya se ha debatido varias veces desde los 90 y 2000
  • Son herramientas utilizadas principalmente por investigadores de seguridad y pentesters
  • Entonces me pregunto cuál sería la alternativa
  • También queda la duda de si GitHub no debería bloquear a países sancionados como Irán o Corea del Norte; ver la política oficial

• He escuchado que en Corea del Norte a la gente común le resulta difícil aprender o incluso poseer una computadora. Dicen que solo una pequeña élite es seleccionada y entrenada, así que sorprende bastante que logren obtener tecnología de punta y usarla para hackear

  • Los hackers norcoreanos probablemente están entre los mejores del mundo. Si el gobierno selecciona estudiantes desde temprano y les da formación intensiva, es posible. En Occidente la educación es más general y hasta la educación universitaria difiere del trabajo real de hacking. Un hacker occidental de 22 años quizá solo tenga 6 meses de práctica como intern, mientras que un hacker norcoreano a esa edad podría ya tener varios años de experiencia
  • Como los equipos norcoreanos también obtienen buenos resultados en varias competencias de programación, parece que son bastante capaces de formar una élite pequeña pero muy fuerte de talento IT
  • Hay quienes reaccionan con sorpresa ante la idea de “hackear con tecnología de punta”, pero en realidad no es tan difícil seleccionar talento, y si a ese talento le das la mejor motivación y las mejores condiciones, es más bien natural que termines obteniendo hackers muy capaces

• El dataset filtrado vinculado a un operador llamado "Kim" muestra con bastante detalle cómo se ven las operaciones cibernéticas de Corea del Norte. Pero cuesta entender por qué los hackers norcoreanos dejaron rastros tan evidentes. Resulta extraño que dejaran migas de pan que llevan hasta Pyongyang en vez de usar desvíos más sutiles

• Este tema tiene muchos aspectos técnicamente interesantes. Parte de la infraestructura usa herramientas que también emplean pentesters u otros responsables de seguridad, lo que muestra que no existe algo así como un “arma puramente defensiva”. Pero, al mismo tiempo, la conversación puede pasar muy fácilmente a criticar a Corea del Norte y China. Para señalar esa doble vara basta con mencionar “Stuxnet” y “Pegasus”

• La conexión con China (Option A/B) está algo exagerada. Puede que los hackers norcoreanos simplemente operen desde China por el acceso a internet. Como Corea del Norte no tiene internet público, estar en China para usar internet, hacerse pasar por chinos o ser controlados por la parte china son posibilidades distintas

• Es un análisis muy detallado del workflow de un APT. Al ver este nivel de detalle existe el riesgo de que atacantes más comunes intenten copiar tácticas parecidas para ponerse a la altura

  • Divulgar información conlleva el riesgo de inspirar imitadores, pero también puede dar criterio a quienes necesitan diseñar estrategias defensivas para frenar a este tipo de atacantes. En la práctica es imposible impedir que la información quede en manos de un solo lado