Grupo norcoreano Konni explota Google Find Hub y KakaoTalk para borrar teléfonos y propagar malware en Corea del Sur

Cómo los agentes norcoreanos convirtieron aplicaciones de confianza en armas contra los surcoreanos

Operadores cibernéticos respaldados por el Estado norcoreano ejecutaron una campaña coordinada que convirtió herramientas de uso cotidiano en vías de ataque, según investigadores forenses de Corea del Sur. El grupo, vinculado al conjunto Konni de actores alineados con Pyongyang, robó credenciales de cuentas de Google, tomó el control remoto de teléfonos y tabletas Android mediante el servicio Find Hub de Google y luego secuestró cuentas de KakaoTalk para propagar malware a través de redes de contactos reales. Los investigadores lo describen como el primer caso confirmado en que una operación vinculada a Corea del Norte comprometió cuentas de Google para controlar dispositivos inteligentes de forma remota mediante funciones de administración integradas.

Analistas de seguridad del Centro de Seguridad de Genians afirman que los atacantes primero se hicieron pasar por funcionarios tributarios para instalar malware. Tras un período de vigilancia discreta, los intrusos iniciaron sesión en las cuentas de Google robadas. Mediante Find Hub, una herramienta de seguridad para consumidores que permite a los propietarios localizar y proteger dispositivos perdidos, rastrearon la ubicación de los teléfonos y ordenaron restablecimientos remotos de fábrica. Estos borrados eliminaron datos personales y silenciaron temporalmente las alertas, lo que facilitó el éxito de la siguiente etapa.

Al no poder recibir llamadas ni notificaciones las personas atacadas, la operación pasó al cliente de escritorio de KakaoTalk, que seguía con la sesión iniciada. Usando el nombre de las víctimas y el historial de conversaciones de confianza, los atacantes enviaron archivos maliciosos disfrazados de programas para aliviar el estrés a sus listas de contactos. La táctica permitió que el malware se propagara aprovechando la confianza social y retrasó su detección, porque muchas víctimas habían perdido el acceso a sus cuentas o estaban ocupadas recuperando sus teléfonos.

Google ha declarado que la actividad abusó del acceso válido a las cuentas y de funciones legítimas, y que no aprovechó una vulnerabilidad de Android o de Find Hub. La empresa recomienda a los usuarios activar la verificación en dos pasos o las llaves de acceso y, en el caso de personas de alto riesgo, inscribirse en el Programa de Protección Avanzada.

Qué ocurrió en los ataques

La operación se desarrolló en varias etapas que combinaron señuelos por correo electrónico, robo de cuentas, control de dispositivos en la nube y abuso de aplicaciones de mensajería. Es un ejemplo de cómo un atacante aprovecha los recursos disponibles en el sistema, cuando los servicios integrados y las aplicaciones de confianza se convierten en sus herramientas. Dos incidentes detallados por los investigadores, incluidos casos del 5 y el 15 de septiembre, muestran con qué rapidez este método puede propagar malware entre círculos personales y profesionales una vez comprometida una sola cuenta.

Paso 1: Suplantación dirigida y acceso inicial

La intrusión comenzó con mensajes dirigidos que suplantaban al Servicio Nacional de Impuestos de Corea del Sur. Se convenció a las víctimas para que abrieran archivos adjuntos o instaladores que parecían legítimos, incluidos archivos empaquetados como instaladores MSI firmados. En segundo plano, estos archivos ejecutaban scripts que establecían la persistencia y descargaban herramientas de acceso remoto. Los analistas observaron varias familias de malware que permiten controlar por completo sistemas Windows, entre ellas Lilith RAT, Remcos RAT, Quasar RAT y RftRAT, así como cargadores basados en AutoIt. El malware recopilaba información, extraía credenciales guardadas en los navegadores y vigilaba la actividad, preparando el entorno para el robo de cuentas.

Entre los objetivos había personas que trabajan con desertores norcoreanos y defensores de los derechos humanos. Algunos señuelos se presentaban como programas útiles para aliviar el estrés. Al adaptar el mensaje al trabajo y las preocupaciones de cada destinatario, los atacantes aumentaron las probabilidades de que abriera un archivo, lo que les permitió acceder a una computadora personal.

Paso 2: Toma de control de cuentas y uso indebido de Find Hub

Una vez instalado el malware, los operadores robaron credenciales de servicios como Google y Naver. Con las credenciales robadas de Google, accedieron a Find Hub. El servicio permite a los propietarios consultar la última ubicación conocida de un teléfono y enviar órdenes como reproducir un sonido o restablecer el dispositivo a su configuración de fábrica. Los intrusos consultaron la ubicación para comprobar que el objetivo no estuviera usando activamente el teléfono y luego activaron el restablecimiento remoto. Los investigadores también hallaron indicios de que, en algunos casos, los atacantes borraron correos de alertas de seguridad y vaciaron las carpetas de papelera del correo para ocultar sus huellas. Enviaron varias órdenes de restablecimiento para dificultar la recuperación y reducir las pruebas disponibles en el teléfono.

Una vez restablecido el dispositivo, el propietario ya no podía ver nuevas notificaciones, incluidos mensajes urgentes de contactos que preguntaban por archivos extraños. El borrado también eliminó indicios que podrían haber revelado la intrusión, lo que dio tiempo a los atacantes para ejecutar el siguiente paso desde otro dispositivo que aún tenía iniciada la sesión en las cuentas de la víctima.

Paso 3: KakaoTalk como megáfono para el malware

KakaoTalk se usa en casi todo Corea del Sur y muchas personas mantienen iniciada una sesión en la versión de escritorio. Tras restablecer el teléfono, los atacantes recurrieron al cliente de KakaoTalk para PC de las víctimas y distribuyeron archivos maliciosos con rapidez. Los mensajes se enviaron con el nombre real y la foto de perfil de la víctima, a menudo con una nota breve y un archivo adjunto. Los destinatarios que confiaban en quien enviaba el mensaje abrieron el archivo, que instaló malware y amplió el número de equipos comprometidos. En un caso, se enviaron mensajes a más de 30 contactos en cuestión de minutos. En otro, una cuenta comprometida distinta distribuyó archivos de forma amplia y simultánea diez días después.

Quién está detrás de la campaña

La actividad se atribuye al conjunto Konni, una red de ciberespionaje vinculada a Corea del Norte que se solapa con grupos ampliamente conocidos como Kimsuky y APT37. Distintas empresas de seguridad utilizan nombres diferentes para referirse a los mismos operadores o a grupos estrechamente aliados, entre ellos Earth Imp, Opal Sleet, Osmium, TA406 y Vedalia. Estos equipos comparten infraestructura y herramientas en campañas dirigidas contra organismos gubernamentales, instituciones educativas, medios de comunicación, la sociedad civil y comunidades de criptomonedas de Corea del Sur.

Los operadores norcoreanos tienen antecedentes de ataques dirigidos a dispositivos móviles. Por ejemplo, investigadores han documentado programas espía para Android que se hacen pasar por herramientas de utilidad o aplicaciones de seguridad y tienen funciones para grabar audio, capturar pantallas y extraer archivos. Lo que distingue a esta campaña es el abuso de la administración de dispositivos vinculada a cuentas para borrar teléfonos y pasar de inmediato a una sesión de mensajería de escritorio para seguir propagando el ataque. La combinación apunta a una coordinación avanzada entre varias plataformas, en lugar de a un único programa malicioso que actúa por su cuenta.

Por qué el abuso de Find Hub marca un punto de inflexión

Durante años, grupos vinculados a Corea del Norte han combinado malware personalizado con credenciales robadas y herramientas legítimas. El abuso de Find Hub eleva el riesgo porque convierte una función de seguridad para consumidores en una herramienta de borrado remoto y distracción. El restablecimiento inutiliza un teléfono, elimina rastros de datos de espionaje y silencia las alertas externas justo cuando más importan. Esto abre la posibilidad de utilizar una sesión de escritorio activa para distribuir archivos con rapidez.

Este método también complica la respuesta a incidentes. Parte de los datos de telemetría y las pruebas que estarían en el teléfono desaparecen al restablecerlo. La actividad relevante queda repartida entre el dispositivo, la cuenta en la nube y el cliente de escritorio. Los equipos de defensa deben recopilar datos de los tres para reconstruir por completo la secuencia. Los analistas de Genians describieron el método como un hito en las operaciones avanzadas vinculadas a Corea del Norte.

En un informe sobre el caso, el Centro de Seguridad de Genians escribió:

Esta combinación de neutralización de dispositivos y propagación mediante cuentas no tiene precedentes entre los escenarios de amenazas persistentes avanzadas patrocinadas por Estados que se conocían hasta ahora.

Consecuencias para las víctimas y costo humano

Los intrusos no eligieron objetivos al azar. Según los investigadores, el 5 de septiembre restablecieron el teléfono de una asesora psicológica que apoya a estudiantes desertores norcoreanos. En un breve lapso, se utilizó la cuenta de KakaoTalk de la asesora para enviar a sus clientes un archivo presentado como un programa para aliviar el estrés. Cuando varios destinatarios lo abrieron, sus equipos quedaron infectados. La elección tanto de la aplicación de mensajería como del mensaje apeló a la confianza y a la pertinencia para la vida de los destinatarios.

Diez días después, una activista de derechos humanos centrada en Corea del Norte vivió una experiencia similar. Su dispositivo Android fue restablecido de forma remota mediante Find Hub y, luego, su cuenta de KakaoTalk envió archivos maliciosos a 36 conocidos. En ambos casos, los teléfonos de las víctimas no pudieron recibir llamadas ni alertas durante las primeras horas decisivas, lo que retrasó las advertencias de los contactos que sospechaban que algo no iba bien.

A algunas víctimas, el borrado les hizo perder fotos, documentos, contactos y trabajo realizado. Los investigadores también encontraron módulos de malware con funciones para controlar la cámara web y el micrófono en las PC infectadas, lo que plantea la posibilidad de que se hayan usado cámaras para comprobar si las víctimas estaban físicamente presentes antes de ordenar los restablecimientos. Las personas que trabajan con desertores y grupos de la sociedad civil en Corea del Sur ya enfrentan riesgos particulares. La campaña muestra cómo la vida digital cotidiana puede volverse en su contra y tener costos personales y profesionales.

Respuestas de expertos y autoridades

La policía de Corea del Sur ha abierto investigaciones sobre los dos incidentes de septiembre. Los analistas afirmaron que el código y las técnicas coinciden con patrones vinculados anteriormente a grupos alineados con Corea del Norte. Los investigadores instaron a posibles objetivos, incluidos asesores y activistas, a realizar revisiones exhaustivas de sus entornos de escritorio y móviles para detectar posibles compromisos de cuentas.

Los equipos de seguridad destacan que los atacantes no necesitaron una falla de programación en Android ni en Find Hub. Necesitaron credenciales válidas y acceso a aplicaciones de confianza. Los investigadores recomiendan a los proveedores de servicios añadir pasos de verificación en tiempo real para acciones delicadas como los restablecimientos remotos, y que las aplicaciones de mensajería ofrezcan advertencias más claras o retrasen los envíos cuando un cliente de escritorio intenta enviar archivos ejecutables a muchos contactos en poco tiempo.

Cómo proteger sus cuentas de Google y KakaoTalk

La campaña se basó en credenciales robadas, sesiones de escritorio persistentes y funciones en las que los usuarios suelen confiar. Las siguientes medidas reducen el riesgo y dificultan el abuso de las cuentas:

• Active la verificación en dos pasos en su cuenta de Google. Es preferible usar llaves de acceso o una llave de seguridad. Las personas que enfrentan un riesgo mayor, como activistas y periodistas, deben inscribirse en el Programa de Protección Avanzada de Google.
• Abra la configuración de su cuenta de Google y realice una Revisión de Seguridad. Elimine dispositivos y sesiones que no reconozca. Revoque el acceso de terceros que no reconozca. Revise el teléfono y el correo electrónico de recuperación.
• Consulte en Find Hub o Find My Device la lista de dispositivos vinculados a su cuenta. Asegúrese de reconocerlos todos. Compruebe que cada dispositivo esté protegido con un PIN seguro y que el restablecimiento remoto requiera su autenticación.
• Revise la seguridad de su correo electrónico. Busque filtros, reglas de reenvío o accesos delegados sospechosos en Gmail. A veces los atacantes añaden reglas para ocultar alertas.
• Evite guardar contraseñas en el navegador de computadoras compartidas o no administradas. Use un administrador de contraseñas de confianza que se bloquee con una contraseña maestra o una llave de seguridad.
• Mantenga Android, Windows, macOS y KakaoTalk actualizados. Revise la configuración de KakaoTalk para ver en qué PC hay sesiones iniciadas en su cuenta y cierre las que no reconozca.
• Desconfíe de archivos o instaladores de aplicaciones no solicitados, incluso si provienen de contactos de confianza. Confirme por teléfono con quien los envió, mediante otro canal, antes de abrir cualquier archivo.
• Mantenga copias de respaldo sin conexión de sus fotos y documentos importantes. El restablecimiento no afectará una copia externa que se mantenga desconectada cuando no se use.
• Active las alertas de inicio de sesión y léalas con atención. Si recibe una alerta sospechosa, no haga clic en sus enlaces. En su lugar, vaya directamente a la configuración de su cuenta desde una nueva sesión del navegador y revise la actividad.

Medidas inmediatas si cree que fue objetivo de un ataque

• Desde un dispositivo limpio que controle, cambie sus contraseñas de Google y KakaoTalk. Luego, active la verificación en dos pasos o las llaves de acceso.
• Abra su cuenta de Google, revise los eventos de seguridad recientes y cierre todas las demás sesiones. Revoque los permisos de aplicaciones que no reconozca.
• En Gmail, elimine los filtros o las reglas de reenvío extraños. En KakaoTalk, cierre la sesión en todas las PC y vuelva a autorizar solo las que usa.
• Si restablecieron su teléfono, trátelo como un dispositivo nuevo. Antes de restaurarlo, cambie las contraseñas de sus cuentas y verifique la información de recuperación. Restaure únicamente desde copias de respaldo de confianza.
• Advierta a sus contactos que los mensajes recibidos de usted podrían haber sido maliciosos. Pídales que no abran los archivos recibidos y que realicen análisis de seguridad.
• Conserve las pruebas siempre que sea posible. No borre su PC. Tome capturas de pantalla de los registros de actividad sospechosos y luego comuníquese con la unidad local de delitos cibernéticos o con un equipo de seguridad de confianza.

Qué deben hacer ahora las organizaciones

Las organizaciones con personal en Corea del Sur o vínculos con trabajos relacionados con Corea del Norte deben asumir que son objetivos atractivos. Un programa específico que combine la seguridad de la identidad con la supervisión de los dispositivos reducirá el riesgo y agilizará la respuesta.

• Exija autenticación multifactor en todas las cuentas de Google Workspace y de los proveedores de identidad. Adopte métodos resistentes a la suplantación de identidad, como llaves de acceso o llaves de seguridad físicas.
• Refuerce la seguridad de los navegadores y desactive el guardado automático de contraseñas en entornos no administrados. Ofrezca al personal un administrador de contraseñas de nivel empresarial.
• Implemente herramientas de detección y respuesta en los dispositivos, con reglas basadas en el comportamiento para identificar ejecutores de AutoIt, el abuso de scripts en instaladores MSI y familias de herramientas de acceso remoto conocidas, como Lilith RAT, Remcos RAT, Quasar RAT y RftRAT.
• Bloquee o ponga en cuarentena, cuando sea posible, los archivos ejecutables adjuntos y los instaladores MSI de remitentes externos en las puertas de enlace de correo electrónico y mensajería.
• Supervise los registros de auditoría en la nube para detectar acciones sospechosas, como actividad de restablecimiento remoto y consultas repetidas de ubicación a través de servicios de administración de dispositivos vinculados a cuentas de usuario.
• Realice simulaciones periódicas de ataques de suplantación de identidad, adaptadas a señuelos locales como avisos de organismos tributarios. Ofrezca capacitación puntual al personal que realiza trabajos delicados con desertores y activistas.
• Establezca un plan de respuesta rápida ante la toma de control de cuentas que abarque las cuentas de Google, los clientes de escritorio de KakaoTalk y los restablecimientos de dispositivos móviles. Practique el plan mediante ejercicios de simulación.
• Establezca un canal para que los contactos informen sobre mensajes y archivos sospechosos que parezcan provenir de su personal. Considere esos avisos prioritarios.

En resumen

• Los investigadores vinculan una nueva campaña contra surcoreanos con el conjunto Konni, alineado con Corea del Norte.
• Los atacantes robaron credenciales de Google, usaron Find Hub para rastrear y restablecer dispositivos Android a la configuración de fábrica y luego abusaron de sesiones de escritorio de KakaoTalk para propagar malware a los contactos.
• Entre los casos figuran una asesora de estudiantes desertores norcoreanos y una activista de derechos humanos. En un incidente se enviaron mensajes con malware a más de 30 contactos y, en otro, a 36.
• La operación recurrió a ataques dirigidos que suplantaban al Servicio Nacional de Impuestos, instaladores MSI firmados, scripts de AutoIt y herramientas de acceso remoto como Lilith RAT, Remcos RAT, Quasar RAT y RftRAT.
• Los investigadores lo consideran el primer caso confirmado de un actor vinculado a Corea del Norte que usa cuentas de Google comprometidas para enviar órdenes remotas a dispositivos mediante Find Hub.
• Google afirma que la actividad abusó de funciones legítimas de las cuentas y de credenciales robadas, no de una falla de Android o Find Hub, y recomienda usar la verificación en dos pasos o llaves de acceso.
• La policía de Corea del Sur está investigando y los equipos de seguridad recomiendan reforzar la protección de identidad y de los dispositivos, y verificar cuidadosamente los archivos recibidos por aplicaciones de mensajería.
• Las personas de alto riesgo deben inscribirse en el Programa de Protección Avanzada, revisar los dispositivos con sesiones iniciadas en Google y KakaoTalk y mantener copias de respaldo sin conexión para limitar los daños de los restablecimientos.