Ataques cibernéticos mediante paquetes falsos en GitHub
El Grupo Lazarus, un grupo norcoreano de ciberdelincuentes, continúa con su campaña VMConnect, que se dirige específicamente a desarrolladores. Esta actividad incluye la distribución de paquetes maliciosos en repositorios de código abierto como GitHub y PyPI. Los atacantes utilizan técnicas de phishing para engañar a los candidatos a empleo.
Simulación de entrevistas de trabajo falsas
Los investigadores observaron que el Grupo Lazarus se disfraza como personal de la empresa estadounidense Capital One, enviando mensajes directos en LinkedIn. Estos mensajes incluyen enlaces a repositorios de GitHub que parecen tareas relacionadas con entrevistas de trabajo. Los archivos tienen nombres como
Python_Skill_Assessment.zip y
Python_Skill_Test.zip.
Procedimiento para la supuesta prueba de habilidades
Los paquetes incluyen instrucciones que piden a los desarrolladores ejecutar un archivo llamado
PasswordManager.py, encontrar y corregir un error en el código, y enviar una captura de pantalla como prueba. El objetivo es crear una sensación de urgencia para que los candidatos descarguen y ejecuten el paquete sin revisar su contenido.
Malware oculto en archivos Python
El código malicioso se encuentra en módulos modificados como
pyperclip y
pyrebase. El malware está codificado en Base64, lo que permite ocultar su funcionalidad. Esta técnica ha sido observada previamente en la campaña VMConnect.
Vinculación con la campaña VMConnect
Esta actividad se relaciona directamente con la campaña VMConnect, identificada por primera vez en agosto de 2023. En septiembre de ese año, ReversingLabs descubrió tres paquetes adicionales:
tablediter,
request-plus y
requestpro. La campaña se vinculó al Grupo Lazarus tras una investigación del CERT japonés.
Actividad continua de la campaña VMConnect
Aunque esta actividad data de más de seis meses, ReversingLabs señaló que hay evidencia de que la campaña sigue activa. Por ejemplo, en julio se encontró un repositorio GitHub recientemente publicado llamado
testing, casi idéntico a los archivos anteriores y con el mismo código malicioso.
Tendencia de ataques mediante código abierto
El uso de plataformas de código abierto para atacar a desarrolladores es una tendencia creciente entre grupos cibercriminales sofisticados y estados-nación. Los investigadores destacaron que esta táctica permite a los atacantes aprovechar la confianza en las herramientas de desarrollo.
Recomendaciones para mitigar riesgos
Se recomienda a las organizaciones mantener una vigilancia constante sobre este tipo de descargas y asegurar que los desarrolladores y otros miembros del personal técnico estén informados sobre los peligros de ejecutar código proveniente de fuentes desconocidas.
