Void Dokkaebi

Void Dokkaebi (también conocido como Famous Chollima) es un grupo de ciberdelincuencia vinculado a Corea del Norte que emplea ofertas falsas de empleo como señuelo para atacar desarrolladores de software, con el objetivo principal de robar criptomonedas y comprometer las cadenas de suministro de software. Sus objetivos principales son desarrolladores que poseen credenciales de carteras de criptomonedas, claves de firma y acceso a pipelines de CI/CD.

Funcionamiento

1. Distribución y acceso inicial (Señuelo de entrevista falsa)

El grupo se hace pasar por reclutadores de empresas de criptomonedas o inteligencia artificial. Durante un proceso de entrevista falsa, solicitan a los desarrolladores que clonen un repositorio de GitHub, GitLab o Bitbucket como parte de una "prueba técnica". Estos repositorios aparentan ser legítimos, pero contienen código malicioso diseñado para ejecutarse automáticamente.

2. Mecanismos de infección

Una vez que la víctima clona y abre el repositorio en Visual Studio Code, el ataque se propaga a través de dos mecanismos principales:

Abuso de archivos de configuración de VS Code (.vscode/tasks.json): El repositorio contiene un archivo .vscode/tasks.json configurado para ejecutarse automáticamente al abrir el espacio de trabajo (runOn: folderOpen). Cuando el desarrollador acepta la ventana de confianza del espacio de trabajo, la tarea maliciosa se ejecuta sin interacción adicional, descargando un backdoor desde una URL remota o lanzando un archivo (como una fuente o imagen) que contiene el payload.
Inyección activa de JavaScript y manipulación del historial de Git: Una vez que el atacante tiene acceso remoto a la máquina del desarrollador, inyecta código JavaScript ofuscado en archivos de código fuente dentro de sus propios repositorios. Para ocultar las modificaciones, utilizan un script batch (temp_auto_push.bat) que extrae los metadatos (fecha, autor, mensaje) de un commit legítimo, cambia temporalmente el reloj del sistema para que coincida, y luego fuerza la subida del commit modificado con la opción --no-verify para evadir ganchos de seguridad y revisiones de CI/CD. El commit inyectado aparece idéntico al original en el historial de Git.

3. Propagación tipo gusano y cadena de suministro

El aspecto más distintivo de Void Dokkaebi es su capacidad de auto-propagar:

Cuando un desarrollador comprometido sube (push) su código a GitHub (ya sea su proyecto o componentes reutilizados), el archivo .vscode/tasks.json malicioso viaja con él.
Cualquier otro desarrollador que clone ese repositorio y lo abra en VS Code recibirá la misma ventana de confianza. Si la acepta, se repite el ciclo de infección.
Si el desarrollador comprometido tiene acceso de escritura a repositorios de organizaciones o proyectos de código abierto populares, la infección puede escalar a toda la cadena de suministro de software, afectando a contribuyentes, forks y proyectos descendentes.

4. Payload: Malware InvisibleFerret (DEV#POPPER)

El malware entregado es una variante de DEV#POPPER RAT (también llamado InvisibleFerret), un troyano de acceso remoto (RAT) multiplataforma escrito en Node.js. El grupo ha evolucionado sus tácticas recientemente, distribuyendo InvisibleFerret compilado con Cython (como archivos .pyd en Windows y .so en macOS) para evadir detecciones basadas en scripts de Python. Sus capacidades incluyen:

Robo de información de navegadores: Credenciales, tarjetas de crédito, cookies y extensiones de carteras de criptomonedas (MetaMask, Coinbase Wallet, Phantom).
Monitoreo del portapapeles y keylogging: Captura de datos sensibles copiados y tecleados (Windows).
Instalación de extensiones maliciosas: Descarga e instala extensiones troyanizadas en navegadores Chrome y Brave.
Backdoor y comunicación: Se conecta a un servidor C&C mediante WebSocket (socket.io-client) y HTTP para exfiltración de datos.
Geolocalización: Consulta la API hxxp://ip-api[.]com/json para obtener datos de geolocalización basados en la IP de la víctima.
Evasión: Detecta y evita entornos de CI/CD y sandboxes en la nube, ejecutándose solo en estaciones de trabajo de desarrolladores reales.

Además, el grupo utiliza infraestructura basada en blockchain (Tron, Aptos y Binance Smart Chain) para alojar y recuperar payloads en etapas posteriores, lo que dificulta su eliminación por métodos tradicionales.

5. Infraestructura y C&C identificada

Recientemente se ha identificado el uso de IP: 45[.]59[.]160[.]199 y la consulta a la API hxxp://ip-api[.]com/json dentro de la cadena de infección.

Impacto y consecuencias

Interrupción operacional: El cifrado de archivos y bases de datos puede paralizar servicios críticos si no se dispone de backups no afectados.
Exposición y filtración de datos: El grupo emplea doble extorsión, amenazando con publicar la información robada si no se paga el rescate.
Compromiso de la cadena de suministro: Un solo desarrollador infectado puede propagar el malware a miles de proyectos posteriores, como se observó en los casos de DataStax y Neutralinojs.
Persistencia y riesgo a largo plazo: El atacante puede mantener backdoors, vender el acceso a otros grupos o utilizar las credenciales robadas para ataques futuros.

Escala de la campaña (hasta marzo de 2026)

Más de 750 repositorios públicos infectados.
Más de 500 configuraciones maliciosas de tareas de VS Code.
101 casos de uso de la herramienta de manipulación de commits (temp_auto_push.bat).

Origen y Motivación

Void Dokkaebi es un grupo de ciberdelincuencia vinculado a Corea del Norte, también rastreado como Famous Chollima. Su motivación principal es económica, buscando obtener ganancias mediante el robo de criptomonedas y la extorsión tras cifrar y filtrar datos confidenciales de empresas. Sin embargo, sus operaciones también pueden alinearse con objetivos de inteligencia y recaudación de fondos para el régimen norcoreano.

Recomendaciones

Aislar el código recibido en procesos de entrevistas: Ejecutar siempre las pruebas técnicas en entornos virtuales desechables o máquinas aisladas, nunca en equipos personales o de producción.
Configurar correctamente los repositorios: Agregar la carpeta .vscode/ al archivo .gitignore a nivel organizacional para evitar que las tareas maliciosas viajen con el código.
Exigir commits firmados y protección de ramas: Requerir commits firmados con GPG o SSH, usar protección de ramas y revisiones obligatorias mediante pull requests para prevenir la inyección y el force-push de código malicioso.
Auditar repositorios regularmente: Buscar marcadores de infección conocidos como global'!′!′!′ y global'_V', y revisar la presencia de archivos como temp_auto_push.bat o tareas sospechosas en .vscode/tasks.json.
Monitorear tráfico de red: Vigilar conexiones salientes a endpoints de API de blockchain (como Tron, Binance Smart Chain) y patrones de comunicación WebSocket inusuales desde estaciones de trabajo de desarrolladores.
Capacitar a los desarrolladores: Concienciar sobre la amenaza de "entrevistas falsas" y tratar las ventanas de confianza del espacio de trabajo de VS Code como un punto de control de seguridad crítico, no como un clic rutinario.

Referencias:

Trend Micro. (2026, mayo 21). Analyzing Void Dokkaebi’s Cython-Compiled InvisibleFerret Malware.

Trend Micro. (2026, abril 20). Void Dokkaebi Uses Fake Job Interview Lure to Spread Malware via Code Repositories.

SOC Prime. (2026, mayo 13). Void Dokkaebi Spreads Malware via Fake Git Repos.

HEAL Security. (2026, abril 23). Void Dokkaebi Hackers Use Fake Job Interviews to Spread Malware via Code Repositories.

OffSeq. (2026, abril 21). Void Dokkaebi Uses Fake Job Interview Lure to Spread Malware via Code Repositories.