El Grupo Lazarus escala: Llamadas de vídeo con deepfakes de IA atacan al sector cripto

El Grupo Lazarus, el colectivo de hackers patrocinado por el estado más notorio de Corea del Norte, ha cruzado un nuevo umbral en el robo financiero asistido por cibermedios. Investigadores de seguridad están rastreando una campaña sofisticada y en curso donde el subgrupo BlueNoroff está aprovechando la inteligencia artificial para crear convincentes llamadas de vídeo con deepfakes, dirigidas a individuos de la industria de las criptomonedas en plataformas como Zoom. Esto representa un cambio de paradigma en la ingeniería social, pasando del texto engañoso y las imágenes estáticas a la suplantación dinámica en tiempo real, aumentando drásticamente la tasa de éxito de sus ataques.

La cadena de ataque está meticulosamente planificada. Operadores, con base presunta en Corea del Norte, realizan un reconocimiento extensivo en LinkedIn y otras redes profesionales para identificar a personal clave en exchanges de criptomonedas, startups blockchain y fondos de inversión. Crean perfiles falsos haciéndose pasar por reclutadores o ejecutivos de empresas legítimas. Tras establecer un contacto inicial mediante mensajes de texto, proponen mover la conversación a una videollamada para 'discutir una oportunidad de alto valor' o 'finalizar un contrato'.

Es durante esta videollamada donde se despliega la tecnología deepfake. Utilizando vídeo y audio pregrabados o posiblemente generados por IA en tiempo real, el atacante suplanta a una persona real—a menudo alguien que el objetivo reconocería de eventos del sector o conexiones mutuas. El deepfake tiene la calidad suficiente para superar una inspección visual casual, especialmente cuando se combina con la presión inherente y la emoción de un potencial acuerdo comercial. El objetivo central de la llamada es la validación social: generar suficiente confianza para convencer al objetivo de realizar una única acción crítica.

Esta acción normalmente implica abrir un archivo o ejecutar un comando. El atacante, durante la llamada, podría compartir su pantalla para mostrar un contrato o documento técnico de apariencia legítima. Luego envía el archivo directamente mediante la función de chat de la herramienta de videoconferencia o realiza un seguimiento con un correo electrónico que parece provenir de la empresa suplantada. El archivo suele ser un ejecutable malicioso disfrazado de PDF o un documento que explota una vulnerabilidad conocida para entregar un payload. En algunos casos observados, el malware es una nueva variante de un troyano de acceso remoto (RAT) o un ladrón de información diseñado para vaciar carteras de criptomonedas, comprometer claves privadas o ganar acceso persistente a entornos de desarrollo corporativos.

Las implicaciones técnicas para la ciberseguridad son profundas. Las puertas de enlace de seguridad de correo electrónico tradicionales y la formación anti-phishing centrada en escrutinar direcciones de remitente y texto flotante de enlaces son ineficaces contra este vector. El ataque explota la confianza cableada en el cerebro humano hacia la interacción cara a cara. Además, el uso de plataformas de comunicación legítimas como Zoom proporciona una capa adicional de legitimidad, ya que los objetivos sospechan menos de los archivos compartidos dentro de lo que perciben como una conversación directa y segura.

Defenderse de esta amenaza requiere un enfoque multicapa basado en principios de confianza cero:

1. Protocolos de verificación mejorados: Implementar verificación obligatoria fuera de banda para cualquier transacción financiera, acción sensible o ejecución de software solicitada durante una reunión virtual. Una confirmación rápida mediante un número de teléfono conocido previamente o un canal de comunicación separado y establecido puede romper la cadena de ataque.
2. Evolución de la concienciación en seguridad: La formación debe ir más allá del 'phishing básico' para incluir 'concienciación sobre vishing (phishing de voz) y deepfakes'. Se debe entrenar a los empleados, especialmente en roles de alto riesgo, para reconocer tácticas de presión de ingeniería social y cuestionar peticiones inusuales, incluso de alguien a quien 'ven' en pantalla.
3. Controles técnicos: El listado de permitidos de aplicaciones puede evitar la ejecución de binarios no autorizados. Las soluciones robustas de detección y respuesta en endpoints (EDR) son cruciales para identificar comportamientos maliciosos tras la ejecución. La segmentación de red puede limitar el movimiento lateral si se produce un compromiso inicial.
4. Refuerzo de procesos: Establecer políticas claras en la empresa que prohíban ejecutar software no solicitado o compartir credenciales basándose únicamente en una petición de videollamada, independientemente de la aparente jerarquía del solicitante.

La adopción de deepfakes impulsados por IA por parte del Grupo Lazarus no es un experimento aislado, sino una señal del futuro de la ingeniería social avanzada. A medida que la tecnología se vuelve más accesible, otros grupos APT y delincuentes con motivación financiera seguramente seguirán el ejemplo. Para la comunidad de ciberseguridad y la industria de las criptomonedas—ya un objetivo principal de las operaciones de generación de ingresos de Corea del Norte—esta campaña sirve como una advertencia severa. La capa humana se ha convertido en la superficie de ataque principal, y defenderla requiere una fusión de controles tecnológicos, educación continua y cambios culturales hacia una confianza verificada.