BlueNoroff de Corea del Norte despliega nuevo ataque macOS mediante señuelos de Zoom

El grupo hacker BlueNoroff de Corea del Norte, una subunidad del infame Lazarus Group, ha desarrollado un nuevo vector de ataque para macOS que utiliza invitaciones falsas a reuniones de Zoom para distribuir malware sofisticado. Investigadores de seguridad han descubierto una campaña donde los atacantes incrustan código malicioso en documentos oculto tras más de 10,000 líneas en blanco - una técnica de ofuscación sin precedentes diseñada para evadir escaneos de seguridad automatizados.

El ataque comienza con correos de phishing cuidadosamente elaborados que contienen lo que parecen ser invitaciones a reuniones de Zoom o actualizaciones de software. Cuando las víctimas descargan y abren los documentos adjuntos, encuentran lo que parece ser un archivo vacío. Sin embargo, oculto en lo profundo de la estructura del documento se encuentra código JavaScript malicioso que ejecuta una cadena de ataque en múltiples etapas.

El análisis técnico revela que el malware realiza varias funciones clave:

1. Establece persistencia en sistemas macOS mediante LaunchAgents
2. Despliega un robador de carteras de criptomonedas que ataca Exodus y otras carteras populares
3. Inyecta código malicioso en aplicaciones financieras
4. Captura pulsaciones de teclado y capturas de pantalla

Lo que hace esta campaña particularmente preocupante es su enfoque en sistemas macOS, tradicionalmente considerados más seguros que Windows. Los atacantes han invertido un esfuerzo significativo en técnicas específicas para macOS, incluyendo:

• Binarios Mach-O personalizados firmados con certificados de desarrollador robados
• Abuso de funciones de automatización de macOS (AppleScript)
• Técnicas de ejecución sin archivos en memoria

Los equipos de seguridad deberían implementar varias medidas defensivas:

1. Desplegar herramientas avanzadas de inspección de documentos que analicen la estructura completa de archivos
2. Monitorear ejecuciones inusuales de AppleScript o JavaScript
3. Implementar listas blancas de aplicaciones para software financiero
4. Educar empleados sobre tácticas de phishing relacionadas con Zoom

La aparición de malware tan sofisticado para macOS proveniente de actores estatales señala una evolución preocupante en amenazas multiplataforma, particularmente para instituciones financieras y empresas de criptomonedas que podrían haber considerado macOS una alternativa más segura.