credenciales robadas de servidores gubernamentales
Una filtración masiva, conocida como 'Kim dump', reveló el modus operandi de hackers norcoreanos. El pasado mes de febrero, un paquete de archivos robados a un operador ligado a Kimsuky (APT43), uno de los grupos de hackers más activos y sofisticados asociados a Corea del Norte, fue filtrado. El material incluía miles de archivos desordenados, en varios idiomas, con material muy diverso. Los analistas de ciberseguridad han estudiado a fondo ese material y han publicado informes más completos. Los archivos filtrados incluían historiales de consola donde el operador compilaba manualmente código malicioso en bajo nivel (ensamblador), lo probaba y lo borraba para ocultar huellas. También había registros de uso de OCR (reconocimiento óptico de caracteres) para analizar documentos en coreano sobre infraestructuras críticas, como la infraestructura de clave pública (GPKI) que gestiona la identidad digital de millones de ciudadanos surcoreanos. Claves digitales robadas de servidores gubernamentales, con contraseñas en texto plano. Rootkits para Linux capaces de ocultarse en el núcleo del sistema y pasar desapercibidos incluso ante herramientas de seguridad. Una red de páginas falsas que imitaban portales oficiales (como mofa.go.kr, del Ministerio de Exteriores surcoreano) para robar credenciales en tiempo real. El hilo conductor de toda la operación es la obsesión por las credenciales. Los registros filtrados muestran cómo el operador lograba acceso a cuentas de administrador (con nombres como 'oracle' o 'svradmin'), cambiaba contraseñas y anotaba cada éxito con la palabra coreana “변경완료” ('cambio completado'). En otros casos, el botín eran archivos '.key' pertenecientes a la infraestructura de certificados del gobierno surcoreano, lo que permitiría suplantar identidades oficiales y falsificar comunicaciones. El análisis del 'Kim leak' confirma que Corea del Sur es el objetivo prioritario, tanto sus sistemas de identidad digital, como sus redes gubernamentales y sus comunicaciones diplomáticas. Sin embargo, sorprende la atención al detalle hacia Taiwán, donde el operador intentó explorar repositorios de investigación aeronáutica y portales de autenticación en la nube. Algunos indicios, como el idioma y el conocimiento de la GPKI, apuntan claramente a un actor norcoreano, pero otros elementos —uso de plataformas chinas como Baidu o Gitee, conexiones desde IPs de telecomunicaciones chinas, historial de navegación en mandarín simplificado— sugieren que el atacante operaba desde suelo chino o con su apoyo tácito.
Comentarios