Investigadores de la empresa de ciberseguridad AhnLab han hallado indicios de que el grupo de amenazas persistentes norcoreano Lazarus podría estar compartiendo herramientas y acceso a sistemas comprometidos con la banda de ransomware Gunra, que ha centrado sus ataques en organizaciones de Corea del Sur.
Los investigadores encontraron numerosas coincidencias técnicas entre ambas campañas, como el uso de los mismos servidores de mando y control, herramientas para elevar privilegios o incluso la misma huella digital de una clave SSH.
No obstante AhnLab señala que estas similitudes podrían deberse a una colaboración, al uso de infraestructura compartida o a la compraventa de accesos entre ciberdelincuentes, no necesariamente a que los dos colectivos sean el mismo.
Por otro lado, los atacantes comprometieron al menos 15 páginas web legítimas para infectar a sus visitantes mediante ataques conocidos como watering hole, en los que un usuario puede verse afectado simplemente por acceder a un sitio web de confianza si tiene instalado software vulnerable.
La firma de ciberseguridad advierte de que el riesgo no se limita a las organizaciones atacadas.
“El software de seguridad financiera surcoreano que actualmente está siendo explotado se utiliza no solo en numerosos entornos empresariales, sino también en muchos ordenadores personales”, ha explicado la compañía.
Asimismo, AhnLab recuerda que “las vulnerabilidades pueden activarse simplemente cuando un usuario accede a una página específica”, por lo que tanto empresas como particulares que utilicen versiones vulnerables del software pueden quedar expuestos.
Quién es quién
Lazarus Group es el nombre con el que la comunidad de ciberseguridad identifica a uno de los grupos de amenazas persistentes avanzadas (APT) más activos y sofisticados del mundo. Se cree que opera bajo el control del Reconnaissance General Bureau (RGB), el principal servicio de inteligencia de Corea del Norte.
Su actividad comenzó a detectarse alrededor de 2009, aunque alcanzó notoriedad internacional en 2014 con el ataque contra Sony Pictures Entertainment, llevado a cabo en represalia por el estreno de la película The Interview, una sátira sobre Kim Jong-un.
Desde entonces, el grupo ha evolucionado desde operaciones de sabotaje y espionaje hacia campañas destinadas a obtener financiación para el régimen norcoreano mediante robos a bancos, plataformas de criptomonedas y otros activos digitales.
En cuanto a Gunra se trata de un grupo de ransomware mucho más reciente. Su aparición pública se produjo en abril de 2025, cuando comenzó atacando empresas surcoreanas.
Los investigadores que le han seguido la pista indican que este grupo de extorsión desarrolló su herramienta maliciosa a partir del código fuente filtrado de Conti v2, uno de los ransomware más importantes de los últimos años. Posteriormente, evolucionó hacia un modelo Ransomware-as-a-Service (RaaS), lanzado en enero de este año.
Leave a Reply