Ideas clave
- Konni utilizó malware PowerShell generado por IA en sus estafas criptográficas para dirigirse a desarrolladores de blockchain en toda APAC.
- La campaña distribuye puertas traseras a través de archivos ZIP Discord con señuelos PDF y accesos directos maliciosos.
- Los investigadores afirman que los comentarios y la estructura de estilo LLM indican claramente un desarrollo de malware asistido por IA.
Según los investigadores de Check Point, los hackers Konni, vinculados a Corea del Norte, han lanzado una campaña que utiliza malware basado en IA para atacar a desarrolladores e ingenieros de blockchain. La actividad se suma a las preocupaciones actuales sobre las estafas de criptomonedas y las operaciones cibernéticas vinculadas al Estado dirigidas a la infraestructura de activos digitales. La campaña se basa en puertas traseras basadas en PowerShell y señuelos de ingeniería social para comprometer los entornos de desarrollo y acceder a activos sensibles relacionados con las criptomonedas.
Konni, también conocido como Opal Sleet y rastreado como TA406, lleva operando al menos desde 2014. Los investigadores creen que el grupo mantiene vínculos con otros grupos de amenazas norcoreanas, como APT37 y Kimsuky. La actividad histórica muestra que Konni ha tenido como objetivo organizaciones de Corea del Sur, Rusia, Ucrania y varios países europeos.
Una campaña de malware creada con IA muestra los riesgos de las estafas criptográficas dirigidas a los desarrolladores
El ataque de estafa criptográfica comienza con un enlace de Discord que conduce a un archivo ZIP que contiene un PDF señuelo y un archivo malicioso de acceso directo a Windows (LNK). Cuando una víctima abre el acceso directo, se inicia un cargador PowerShell incrustado. El cargador extrae un archivo DOCX y un archivo de armario que contiene una puerta trasera PowerShell, dos archivos por lotes y un ejecutable para eludir el control de cuentas de usuario (UAC).
El acceso directo abre el archivo DOCX y ejecuta uno de los archivos por lotes incluidos en el archivo. El documento señuelo sirve como reclamo, sugiriendo un intento de comprometer los entornos de desarrollo. Los investigadores señalaron que dicho acceso podría exponer detalles de la infraestructura, credenciales API, acceso a monederos y tenencias de criptomonedas.
El primer archivo por lotes crea un directorio de almacenamiento para el backdoor y los componentes relacionados. El segundo archivo por lotes crea una tarea programada que se ejecuta cada hora y se hace pasar por una tarea de inicio de OneDrive. Esta tarea programada lee un script PowerShell cifrado con XOR del disco, lo descifra en la memoria y lo ejecuta. Tras la ejecución, el malware de la estafa criptográfica se borra a sí mismo para eliminar los signos de compromiso.
Hay pruebas de que se utiliza malware generado por IA en las estafas de criptomonedas
Los investigadores de Check Point informaron de que la puerta trasera PowerShell muestra fuertes indicadores de desarrollo asistido por IA. El script utiliza técnicas de descodificación pesadas, incluida la codificación de cadenas basada en aritmética, la reconstrucción de cadenas en tiempo de ejecución y la ejecución mediante Invoke-Expression.
Además, el malware incluye documentación estructurada y disposición modular del código. Los investigadores lo describieron como atípico para el malware tradicional de autoría manual por operadores de estafas criptográficas.
Un comentario específico dentro del script, “#
Antes de ejecutar sus funciones principales, el malware comprueba el hardware, el software y la actividad del usuario para detectar entornos de análisis. A continuación, genera un identificador de host único. Dependiendo del nivel de privilegios disponible en el sistema comprometido, el malware sigue diferentes rutas de ejecución.
Una vez activa, la puerta trasera contacta periódicamente con su servidor de mando y control (C2). Envía metadatos básicos del host y sondea el servidor a intervalos aleatorios. Si el servidor devuelve código PowerShell, el malware convierte la respuesta en un bloque de script y lo ejecuta de forma asíncrona utilizando trabajos en segundo plano.
Atribución e indicadores de compromiso
Check Point atribuyó la campaña a Konni en varias coincidencias con actividades anteriores relacionadas con estafas criptográficas. Los investigadores observaron similitudes en los formatos de los lanzadores, los nombres de los archivos de señuelo, algunas convenciones de denominación de los scripts y las estructuras de las cadenas de ejecución. Estos atributos también son similares a los de anteriores fuerzas Konni observadas durante campañas anteriores.
Los investigadores también publicaron indicadores de compromiso relacionados con la campaña para ayudar a los defensores a identificar y abordar las infecciones. Estas señales pretenden ayudar a las organizaciones a asegurar los sistemas sensibles, especialmente los relacionados con el desarrollo de blockchains e infraestructuras de criptomonedas.
