Perfiles falsos con IA sostienen el nuevo ciberespionaje de Lazarus: una hoja de vida impecable, con foto perfecta, puede ser la puerta de entrada a una empresa. El Equipo Global de Investigación y Análisis de Kaspersky, conocido como GReAT, destapó la Operación FlashHole, activa desde julio de 2025, con al menos tres organizaciones afectadas en Corea del Sur.
Las víctimas confirmadas trabajan en construcción, programas informáticos y fabricación de equipos de comunicaciones por cable. Kaspersky presentó los hallazgos en el Security Analyst Summit, celebrado en Bali, Indonesia, y atribuyó la campaña a Lazarus, grupo de amenaza persistente avanzada vinculado a Corea del Norte, con confianza media a alta. Los investigadores creen que la cifra real de empresas afectadas es mayor.
Una hoja de vida falsa abre la puerta
El engaño empieza con un correo personalizado. La técnica tiene nombre conocido, phishing dirigido, y en FlashHole lleva a páginas creadas en GitHub Pages con portafolios y hojas de vida armados para cada objetivo. Una de esas páginas presentaba a un supuesto desarrollador sénior de dispositivos de red, con experiencia, proyectos y una fotografía de aspecto profesional.
Esa fotografía salió de un generador de inteligencia artificial. Kaspersky lo contó durante la presentación en Bali: la imagen carecía de metadatos y mostraba texturas poco naturales al revisarla de cerca. El equipo de GReAT considera que la inteligencia artificial también ayudó a adaptar el contenido de cada sitio falso al perfil de la persona que iba a recibir el enlace, para que el señuelo calzara con su trabajo y sus intereses.
Perfiles falsos con IA de este tipo ya aparecían en Operation DreamJob, la campaña de empleo falso que Lazarus arrastra desde hace años. FlashHole se conecta también con Operation SyncHole, detectada el año pasado, y repite su lógica: un tema laboral creíble, un enlace que parece inofensivo y un clic dentro de la red corporativa. La diferencia está en lo que ocurre después de ese clic.
CrossWeb EX y una cadena que vive en la memoria
Visitar la página falsa podía activar una posible falla en CrossWeb EX, un programa legítimo de seguridad y autenticación muy usado en Corea del Sur para banca en línea y servicios del gobierno. Kaspersky aclara que el mecanismo exacto de abuso no quedó confirmado en todos los casos, un límite que el propio informe reconoce. El resultado sí quedó documentado: código malicioso ejecutándose en la memoria del equipo, con el proceso del programa legítimo como padre.
Desde ahí, el proceso de CrossWeb EX ejecutaba fsquirt.exe, un archivo legítimo de Windows, para correr el código que instalaba TechHub. Ese descargador buscaba componentes adicionales en repositorios privados de GitHub, la misma plataforma que alojaba las páginas trampa y que también servía como canal de comunicación con los atacantes. Una cuenta creada en septiembre de 2025 sostenía parte de esa estructura.
El arsenal incluye dos herramientas sin documentación previa, TouchHub y ClientHub. ClientHub admite comunicación por Dropbox, un servicio legítimo que ayuda a esconder el tráfico malicioso entre actividad normal. Cubridge, otra pieza del conjunto, funciona como puerta trasera modular: gestiona archivos, ejecuta órdenes, reconoce el equipo y captura la pantalla. Herramientas adicionales apuntaban a navegadores basados en Chromium para robar credenciales, cookies e historial.
Cifrado poscuántico para esconder las cargas
El detalle técnico que más llama la atención es el cifrado. LPEClient, un programa asociado a Lazarus desde antes, recibía claves públicas ML-KEM-1024 desde la infraestructura de mando. ML-KEM es el mecanismo de encapsulación de claves poscuántico aprobado por el Instituto Nacional de Estándares y Tecnología de Estados Unidos, creado para proteger datos frente a computadoras cuánticas futuras. Lazarus lo usa al revés: para cifrar sus propias cargas y bajar el riesgo de detección.
Sojun Ryu, investigador sénior de seguridad del equipo GReAT, afirmó que el rastreo de ese cifrado llega hasta septiembre de 2024. Dicho de otro modo, el grupo protegía las comunicaciones de su código malicioso con criptografía poscuántica más de un año antes de esta divulgación. BleepingComputer detalló la cadena técnica: LPEClient genera claves compartidas, cifra el intercambio con el algoritmo GOST y usa Threefish para descifrar la respuesta que trae la carga final, Cubridge, cargada de forma reflectiva en la memoria.
Kaspersky advierte que el ciberespionaje de Lazarus y estas técnicas pueden salir de Asia. La empresa lo plantea como riesgo para América Latina, donde Lazarus ya registra actividad previa, porque el método se apoya en herramientas cotidianas: correo, sitios profesionales y servicios en la nube. Una nota publicada el 26 de octubre por Teleradio América, con información de Hoy, llevó la alerta a República Dominicana y pidió a las empresas verificar la autenticidad de hojas de vida, perfiles y enlaces recibidos.
La recomendación práctica de Kaspersky para recursos humanos y sistemas es directa. Verificar cada perfil y cada portafolio inesperado antes de abrir sus enlaces, mantener programas y parches al día, limitar permisos por función y vigilar conexiones inusuales a plataformas en la nube. Un proceso de contratación puede ser, literalmente, la primera línea de defensa.
FlashHole deja un dato concreto para cualquier empresa que contrate en línea en América Latina y el Caribe: la cuenta de GitHub que sostenía el señuelo del desarrollador sénior se creó en septiembre de 2025 y la foto de su hoja de vida no tenía metadatos. Revisar ese tipo de detalle toma minutos. Reconstruir una red comprometida toma meses.
Fuente: BleepingComputer
Foto: BleepingComputer
Descubre más desde Tecnología Geek
Suscríbete y recibe las últimas entradas en tu correo electrónico.
