Operación Contagious Interview: Investigador Infiltra Red de Hackers Norcoreanos y Revela 1,640 Empresas Comprometidas (2026)
Nombres Alternativos / Aliases
- Contagious Interview Campaign (Por la técnica de ataque)
- DPRK IT Worker Scheme (Por el vector de infiltración)
- Fake Job Offer Hacking (Por el señuelo de ingeniería social)
- Lazarus Group Global Breach (Por el actor de amenaza)
Fecha de Detección / Actividad
- Período de infiltración del investigador: 22 meses (octubre 2024 – agosto 2026)
- Fecha de presentación en Black Hat USA: 5 de agosto de 2026
- Primera documentación de Contagious Interview: 2022 (Microsoft)
- Actividad confirmada: Desde al menos 2022 hasta agosto de 2026
- Estado: Activa (la campaña continúa operando)
Actor de Amenaza (Atribución)
| Característica | Detalle |
|---|---|
| Nombre del Actor | Lazarus Group (y subgrupos: Famous Chollima, Andariel, BlueNoroff) |
| Vínculo Gubernamental | Alto (patrocinado por el estado de Corea del Norte, vinculado a la Oficina de Reconocimiento General) |
- ☑ Tipo de Actor | Ciberespionaje / Robo de criptomonedas / Financiamiento de armas
- ☑ Sofisticación | MUY ALTA. El grupo demuestra:
- Ingeniería social avanzada (reclutamiento falso, perfiles de LinkedIn falsos)
- Uso de inteligencia artificial para forjar documentos de identidad
- Infiltración de IT workers encubiertos en empresas occidentales
- Técnicas avanzadas de lavado de criptomonedas (ciclo de 45 días)
- ☑ Motivación | Financiera (el régimen de Corea del Norte utiliza estas ganancias para financiar su programa nuclear y de misiles, equivalente al 13% de su PIB)
- ☑ Robos totales estimados (2017-2025) | $6.75 mil millones
- ☑ Robos solo en 2025 | $2.02 mil millones (51% más que en 2024)
Resumen Ejecutivo
El investigador de ciberseguridad Vangelis Stykas (CTO de Kumio) ha estado infiltrado en los sistemas de hackers norcoreanos durante 22 meses, revelando el alcance global de sus operaciones. Durante este período, Stykas obtuvo acceso a los servidores de comando y control (C2) de los atacantes, recopilando 5 terabytes de datos que incluyen claves de desarrollador, código fuente y comunicaciones internas (Slack, Discord) .
Descubrimientos clave
| Descubrimiento | Detalle |
|---|---|
| Organizaciones comprometidas | 1,640 empresas en 57 países |
- ☑ Intrusiones críticas | 700-800 organizaciones con acceso a nivel de root, credenciales de AWS o claves de blockchain
- ☑ Datos analizados | 5 TB (claves, código fuente, comunicaciones internas)
- ☑ Técnica principal | Contagious Interview (entrevistas de trabajo falsas)
- ☑ Robos de criptomonedas (2025) | $2.02 mil millones (51% más que en 2024)
- ☑ Total robado desde 2017 | $6.75 mil millones
- ☑ Participación en ataques globales (2026) | 76% de todos los robos de criptomonedas
El error operativo que permitió la infiltración
Stykas logró acceder a los sistemas de los atacantes porque, en algunos casos, los propios hackers norcoreanos se infectaron accidentalmente con su propio malware, lo que le dio acceso a sus estaciones de trabajo, Slack y Discord :
"I have access to their Slack, I have access to their Discord, I have access to a lot of stuff." — Vangelis Stykas
Vector de Ataque / Métodos de Distribución
Contagious Interview: El mecanismo de infección
La técnica principal utilizada por los hackers norcoreanos es Contagious Interview, documentada por Microsoft desde 2022 :
| Fase | Descripción |
|---|---|
| 1. Identificación de objetivos | Los atacantes identifican desarrolladores de software en plataformas como LinkedIn |
| 2. Oferta de trabajo falsa | Se hacen pasar por reclutadores de empresas legítimas (Coinbase, etc.) ofreciendo salarios muy superiores al mercado |
| 3. Prueba técnica | Los candidatos reciben un "ejercicio de codificación" que incluye un enlace a un repositorio (GitHub, GitLab o Bitbucket) |
| 4. Ejecución de malware | Al abrir el proyecto en Visual Studio Code, el desarrollador acepta un prompt de confianza que ejecuta código malicioso en segundo plano |
| 5. Acceso a la red corporativa | El malware roba credenciales, tokens de API, claves de criptomonedas y otorga acceso a la red de la empresa |
"By embedding targeted malware delivery directly into the interview tools, coding exercises, and assessment flows that developers inherently trust, the threat actors exploit candidates' trust in the hiring process." — Microsoft Threat Intelligence
La dimensión de los contratistas externos
Stykas descubrió que el verdadero multiplicador de esta campaña son los contratistas externos que trabajan para múltiples empresas simultáneamente :
"I saw contractors that had access to 30 companies at once." — Vangelis Stykas
Un solo contratista comprometido puede dar acceso a docenas de organizaciones, creando un efecto dominó en la cadena de suministro.
Uso de IA por parte de los atacantes
Los hackers norcoreanos están utilizando inteligencia artificial para automatizar y escalar sus operaciones :
| Herramienta | Uso |
|---|---|
| Google Gemini | Forjar documentos de identidad (licencias de conducir con metadatos EXIF de Gemini y marca SynthID) |
- ☑ OpenAI / ChatGPT | Generación de código malicioso y contenido de phishing
- ☑ Cursor / Anima | Automatización del desarrollo de malware
- ☑ Simplify Copilot / AiApply | Automatización de solicitudes de empleo y generación de respuestas a entrevistas
Víctimas y Sectores Afectados
Empresas confirmadas (según Stykas)
| Organización | Sector | País | Estatus |
|---|---|---|---|
| Boston Children's Hospital | Salud (Base de datos COVID-19) | EE.UU. | Compromiso de contratista externo |
- ☑ Coinbase | Criptomonedas | EE.UU. | Contratista despedido a los 30 días
- ☑ Uniswap Labs | Criptomonedas | EE.UU. | Investigado y remediado | | Oppo | Tecnología (Smartphones) | China | Comprometido | | AEON Smart Technology | Tecnología | Japón | Confirmado por CERT-JP
- ☑ Consiglio Superiore della Magistratura | Judicial | Italia | Comprometido | | Al Rajhi Bank (subsidiaria) | Finanzas | Arabia Saudita | Comprometido | | Digitaal Vlaanderen | Gobierno | Bélgica | Contenido y remediado
- ☑ AEON Smart Technology | Tecnología | Japón | Confirmado por CERT-JP
Distribución geográfica
- Países afectados: 57 países
- Principales regiones: América del Norte, Europa, Asia-Pacífico, Medio Oriente
- Sectores más afectados: Criptomonedas, tecnología, finanzas, salud, gobierno
Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK
| Táctica (MITRE ATT&CK) | Técnica / Subtécnica | Descripción / Implementación |
|---|---|---|
| Initial Access (TA0001) | Phishing: Spearphishing via Service (T1566.003) | Ofertas de trabajo falsas en LinkedIn |
- ☑ Initial Access (TA0001) | Valid Accounts (T1078) | Uso de identidades robadas o falsas para acceder a sistemas
- ☑ Execution (TA0002) | User Execution: Malicious File (T1204.002) | Ejecución de código malicioso durante pruebas técnicas
- ☑ Execution (TA0002) | Command and Scripting Interpreter (T1059) | PowerShell, Bash, Python
- ☑ Defense Evasion (TA0005) | Masquerading (T1036) | Suplantación de reclutadores y empresas legítimas
- ☑ Defense Evasion (TA0005) | Obfuscated Files or Information (T1027) | Ofuscación de código malicioso
- ☑ Credential Access (TA0006) | Credentials from Password Stores (T1555) | Robo de credenciales y API tokens
- ☑ Credential Access (TA0006) | Steal Application Access Token (T1528) | Robo de claves de criptomonedas
- ☑ Persistence (TA0003) | Valid Accounts: Domain Accounts (T1078.002) | Acceso persistente mediante cuentas de contratistas
- ☑ Exfiltration (TA0010) | Exfiltration Over Web Service (T1567) | Envío de datos robados a servidores C2 | | Impact (TA0040) | Financial Theft (T1657) | Robo de criptomonedas |
Lavado de Criptomonedas: El Ciclo de 45 Días
Según Chainalysis, los hackers norcoreanos siguen un ciclo de lavado estructurado de 45 días después de un robo mayor :
| Fase | Días | Actividad |
|---|---|---|
| Ocultación inicial | 0-5 | Uso intensivo de protocolos DeFi (+370%) y mezcladores (+135-150%) |
| Integración temprana | 6-10 | Intercambios con KYC limitado (+37%), mezcladores secundarios (+76%), puentes cross-chain (+141%) |
| Integración final | 20-45 | Intercambios sin KYC (+82%), servicios de garantía como Tudou Danbao (+87%), intercambios instantáneos (+61%) |
Preferencias de lavado (comparado con otros actores)
| Tipo de servicio | Preferencia de DPRK | Diferencia |
|---|---|---|
| Servicios de garantía en chino | Alta | +355% a +1000% |
| Servicios de mezcla | Alta | +100% |
| Puentes cross-chain | Alta | +97% |
| Intercambios sin KYC | Baja | -75% |
| Protocolos de préstamo DeFi | Muy baja | -80% |
Impacto y Riesgo
| Categoría | Nivel | Descripción |
|---|---|---|
| Alcance global | MUY ALTO | 1,640 empresas en 57 países |
- ☑ Intrusiones críticas | ALTO | 700-800 con acceso root, AWS, claves de blockchain
- ☑ Impacto financiero | MUY ALTO | $2.02 mil millones robados en 2025
- ☑ Contribución al PIB de Corea del Norte | MUY ALTO | ~13% del PIB del régimen
- ☑ Continuidad | MUY ALTA | Campaña activa desde 2022, en evolución constante |
Consecuencias para las organizaciones
| Consecuencia | Gravedad | Detalle |
|---|---|---|
| Robo de criptomonedas | Crítica | Vaciado de monederos y claves de blockchain |
| Compromiso de AWS | Crítica | Acceso a nivel de root a entornos cloud |
| Robo de propiedad intelectual | Crítica | Código fuente, secretos comerciales |
| Compromiso de contratistas | Crítica | Un contratista infectado puede dar acceso a 30 empresas |
- ☑ Daño reputacional | Alta | Asociación con ataques de estado norcoreano |
Recomendaciones de Mitigación
Para organizaciones
| Acción | Prioridad | Descripción |
|---|---|---|
| Verificar identidades de candidatos | CRÍTICA | Validar identidades en múltiples fuentes; usar videollamadas para verificar coincidencia entre rostro y documento |
- ☑ Auditar contratistas externos | CRÍTICA | Revisar el acceso de contratistas a sistemas y datos; implementar el principio de mínimo privilegio
- ☑ Monitorear pruebas técnicas | ALTA | Supervisar los ejercicios de codificación proporcionados a candidatos; verificar repositorios de GitHub/GitLab/Bitbucket
- ☑ Implementar EDR en endpoints | ALTA | Especialmente en equipos de contratistas y desarrolladores | | Educar a reclutadores | ALTA | Capacitar al equipo de RRHH para detectar perfiles sospechosos | | Revisar logs de acceso | ALTA | Buscar actividad anómala en cuentas de contratistas y desarrolladores | | Rotar credenciales AWS | ALTA | Asumir posible compromiso de claves de API |
Para desarrolladores y profesionales de TI
| Acción | Prioridad | Descripción |
|---|---|---|
| Desconfiar de ofertas de trabajo no solicitadas | CRÍTICA | Especialmente con salarios muy por encima del mercado |
| Ejecutar código de pruebas en entornos aislados | CRÍTICA | Usar máquinas virtuales o sandboxes para pruebas técnicas |
| Verificar la autenticidad de repositorios | ALTA | Confirmar que el repositorio pertenece a la empresa que recluta |
| No compartir credenciales sensibles | ALTA | Nunca enviar contraseñas, tokens o claves API en pruebas técnicas |
| Usar autenticación multifactor | ALTA | En todas las cuentas corporativas |
Opiniones de Expertos
"They're here, they're attacking us non-stop. In the end, we're all victims of cyberattacks. How you handle an attack is what distinguishes a good company from a bad one." — Vangelis Stykas, CTO de Kumio
"It's company access, it's root access to servers, it's root access to AWS. For crypto companies, it's keys, it's blockchain access—it's ridiculous access." — Vangelis Stykas
"The challenge for 2026 will be detecting and preventing these high-impact operations before DPRK-affiliated actors inflict another Bybit-scale incident." — Chainalysis
"Organizations are learning to spot fake email addresses and typo-squatted domains, but they are less prepared to scrutinize a prospective technical lead who passes a coding interview and then spends a month silently reading source code and syncing internal dashboards to a personal Google Drive." — Mauro Eldritch (BCA LTD) y Heiner García (NorthScan)
Referencias y Fuentes
- WIRED. (2026, 5 de agosto). A Security Pro Hacked North Korean Hackers. He Found They'd Breached Hundreds of Networks Worldwide.
- The Hacker News. (2025, 2 de diciembre). Researchers Capture Lazarus APT's Remote-Worker Scheme Live on Camera.
- Becker's Hospital Review. (2026, 5 de agosto). Boston Children's Hospital named in North Korean hacking operation.
- Cybersecurity News. (2026, 6 de agosto). North Korean Hackers Target 1,640 Companies in 57 Countries.
- Chainalysis. (2025, 18 de diciembre). 2025 Crypto Theft Reaches $3.4 Billion.
- NBC News. (2025, 18 de diciembre). North Korea stole billions in crypto in 2025, new research says.
- KBS WORLD Radio. (2026, 7 de agosto). Security Pro Finds Evidence N. Koreans Hacked 1,640 Companies in 57 Countries.
- HEAL Security. (2026, 12 de agosto). North Korean IT Workers Use AI-Forged IDs and Remote Desktops.
- Yonhap News Agency. (2026, 13 de enero). N. Korea likely stole over US$2 billion in cryptocurrency last year: U.S. official.
Historial de Revisiones
| Fecha | Versión | Autor | Cambios Realizados |
|---|---|---|---|
| 2026-08-24 | 1.0 | Fernando Vargas Hincapié | Creación inicial basada en análisis de WIRED, The Hacker News, Chainalysis, Becker's Hospital Review y otros |
Indicadores de Compromiso (IOCs)
Tácticas y Técnicas
| Tipo | Indicador |
|---|---|
| Técnica principal | Contagious Interview (entrevistas de trabajo falsas) |
| Señuelos | Ofertas de trabajo de alto salario (LinkedIn, GitHub) |
| Pruebas técnicas | Repositorios de código malicioso en GitHub/GitLab/Bitbucket |
- ☑ Documentos falsos | Identificaciones generadas por IA (Gemini, SynthID)
- ☑ VPN | AstrillVPN (consistente en múltiples operaciones)
- ☑ Herramientas de IA | Simplify Copilot, AiApply, Final Round AI (para automatizar solicitudes de empleo)
- ☑ Autenticación | OTP.ee / Authenticator.cc (para 2FA robado)
- ☑ Control remoto | Google Remote Desktop (acceso persistente)
- ☑ Traducción | Software de traducción en tiempo real para eludir barreras de idioma
Hashes y Archivos
Se recomienda consultar los informes de Microsoft Threat Intelligence y Palo Alto Networks para hashes específicos de malware asociado a Contagious Interview.
Comportamiento a monitorear
| Categoría | Comportamiento |
|---|---|
| Reclutamiento | Ofertas de trabajo no solicitadas con salarios excesivos |
| Pruebas técnicas | Repositorios que requieren ejecutar código en Visual Studio Code con prompts de confianza |
| Contratistas | Acceso de contratistas a múltiples entornos corporativos |
| AWS | Actividad anómala desde cuentas de desarrolladores o contratistas |
| Criptomonedas | Transferencias inusuales desde monederos corporativos |
Etiquetas / Categorías
lazarus-dprk-contagious-interview-campaign north-korea-cyberespionage-crypto-theft-2-billion fake-recruitment-malware it-worker-infiltration-ai-forged-identities bybit-hack-2025 crypto-laundering-45-day-cycle