BeaverTail
BeaverTail es un malware de robo de información y descargador activo desde al menos 2022, que existe en variantes JavaScript y C++ y funciona como un marco multiplataforma para Windows, macOS y Linux . Es utilizado por actores vinculados a Corea del Norte, identificados como Contagious Interview (también conocido como Famous Chollima o DeceptiveDevelopment), en una campaña de ingeniería social dirigida a desarrolladores de software, particularmente aquellos involucrados en proyectos de criptomonedas y Web3 . El malware se distribuye mediante repositorios de código maliciosos, paquetes npm troyanizados, perfiles de reclutadores falsos en LinkedIn y técnicas como ClickFix, donde se engaña a los desarrolladores para que ejecuten código como parte de supuestas pruebas técnicas de entrevistas de trabajo .
BeaverTail funciona como un ladrón de información y un descargador de cargas útiles secundarias, actuando típicamente como la primera etapa en una cadena de infección que culmina en el despliegue de InvisibleFerret, un RAT modular escrito en Python . El malware recopila datos del sistema, credenciales de navegadores (Chrome, Brave, Opera, Edge) y extensiones de carteras de criptomonedas (MetaMask, Coinbase Wallet, Phantom, TronLink) . Además, exfiltra archivos sensibles como documentos Word, PDF, archivos de entorno y, en macOS, el keychain del usuario . BeaverTail se comunica con su servidor C2 mediante peticiones HTTP GET y POST a puertos no estándar (1224 y 1244), enviando los datos robados y descargando cargas adicionales, incluido el Python necesario para ejecutar InvisibleFerret en sistemas Windows que no lo tienen preinstalado .
La evolución de BeaverTail ha sido notable desde sus primeras muestras en 2023: ha añadido una sofisticada ofuscación con capas de Base64 y XOR, ha incorporado módulos de captura de teclas y captura de pantalla combinados con OtterCookie, y se ha expandido a nuevos vectores de distribución, incluyendo tareas automatizadas de VS Code (tasks.json) y servicios legítimos de almacenamiento JSON . La última evolución incluye capas de ofuscación de más de 128 niveles y la convergencia con la cepa OtterCookie, transformando lo que era un ladrón ligero en un marco unificado y evasivo de firmas para robo financiero persistente . La motivación principal del grupo es la generación de ingresos para el régimen norcoreano, combinando el robo directo de criptomonedas con el espionaje financiero a través del compromiso de entornos de desarrollo y cadenas de suministro de software .
Funcionamiento de BeaverTail
BeaverTail es un malware modular que existe en variantes JavaScript y C++, operando como un marco multiplataforma capaz de ejecutarse en Windows, macOS y Linux. Su funcionamiento se basa en una cadena de infección que comienza con la distribución a través de múltiples vectores: paquetes npm troyanizados, perfiles de reclutadores falsos, plataformas fraudulentas de entrevistas como "BlockNovas", y técnicas ClickFix que engañan a los usuarios para que ejecuten comandos del sistema. En la campaña más reciente, el malware también ha explotado archivos tasks.json de Visual Studio Code para obtener ejecución inicial, utilizando tareas maliciosas que invocan cmd.exe y node para descargar payloads adicionales.
Una vez ejecutado, BeaverTail despliega una sofisticada capa de ofuscación que incluye codificación Base64 y cifrado XOR por capas, alcanzando en variantes recientes más de 128 niveles de ofuscación que dificultan el análisis estático. El malware recolecta información del sistema (hostname, username, plataforma) y procede a exfiltrar datos sensibles, incluyendo credenciales de navegadores (Chrome, Brave, Opera, Edge), extensiones de carteras de criptomonedas (MetaMask, Phantom, TronLink), documentos Word, PDF, archivos de entorno, y en macOS, el keychain del usuario (/Library/Keychains/login.keychain). La comunicación con el servidor C2 se realiza mediante peticiones HTTP GET y POST a puertos no estándar (1224 y 1244), utilizando cabeceras dinámicas y payloads señuelo para evadir detección.
Como descargador (loader), BeaverTail contacta con su infraestructura C2 para recuperar cargas útiles de segunda etapa, principalmente el backdoor InvisibleFerret, que permite control remoto y persistencia sobre el sistema comprometido. La evolución técnica más reciente incluye la convergencia con la cepa OtterCookie, que añade capacidades de enumeración de perfiles de navegador y acceso remoto a través de herramientas legítimas como AnyDesk. En sistemas Windows sin Python preinstalado, BeaverTail descarga e instala el intérprete necesario para ejecutar InvisibleFerret, demostrando una adaptabilidad técnica que ha convertido al malware en un marco unificado y evasivo de firmas para robo financiero persistente.
Impacto y consecuencias de BeaverTail
El impacto de BeaverTail se extiende a lo largo de toda la cadena de suministro de software, con consecuencias que van más allá del robo financiero individual. La campaña Contagious Interview, activa desde al menos 2022, ha comprometido a desarrolladores de software, traders de criptomonedas y profesionales del sector retail mediante la explotación de la confianza en los ecosistemas de desarrollo. Según análisis recientes, el malware ha sido distribuido a través de más de 67 paquetes npm maliciosos, algunos disponibles el tiempo suficiente para ser descargados miles de veces, y a través de plataformas legítimas de almacenamiento JSON como JSON Keeper, JSONSilo y npoint.io, que alojan payloads ofuscados. Esta estrategia de abuso de servicios legítimos convierte a plataformas confiables en vectores de ataque, complicando la detección y la atribución.
Para las organizaciones afectadas, las consecuencias operativas son severas. Un desarrollador comprometido no solo pierde sus credenciales personales y carteras de criptomonedas, sino que su entorno de desarrollo se convierte en un punto de entrada a repositorios de código, sistemas de compilación y secretos de CI/CD, permitiendo a los atacantes inyectar código malicioso en pipelines de producción y comprometer a toda la base de usuarios de la organización. La capacidad de BeaverTail para exfiltrar archivos de entorno, documentos sensibles y keychains de macOS significa que los atacantes pueden acceder a credenciales de nube, claves API y tokens de autenticación que permiten movimiento lateral a través de toda la infraestructura corporativa. Además, la convergencia con OtterCookie ha añadido capacidades de keylogging y captura de pantalla, lo que permite a los operadores monitorizar las actividades de los desarrolladores en tiempo real y robar información incluso después de la infección inicial.
A nivel estratégico, BeaverTail representa una evolución en las tácticas de grupos patrocinados por estados, demostrando cómo los actores norcoreanos han profesionalizado su arsenal más allá de herramientas de código abierto hacia malware personalizado con ofuscación avanzada y capacidades multiplataforma. Las variantes más recientes, identificadas desde noviembre de 2025, utilizan cabeceras User-Agent dinámicas que sirven como mecanismo de autenticación ante el servidor C2: si una solicitud no incluye cabeceras específicas (como "203"), el servidor responde con payloads señuelo benignos, implementando un sofisticado geofencing y evasión de sandboxes. Esta táctica ha creado un punto ciego en las soluciones de seguridad tradicionales, obligando a los equipos defensivos a desarrollar capacidades de análisis basado en comportamiento y a tratar cualquier código de repositorios externos como potencialmente malicioso, incluso cuando proviene de plataformas de confianza como GitHub o GitLab. La diversificación de objetivos hacia personal de marketing y retail indica una expansión del radio de ataque, lo que sugiere que las operaciones de BeaverTail continuarán escalando en sofisticación y alcance.
Origen y motivación de BeaverTail
BeaverTail es un malware atribuido con alta confianza a actores vinculados a Corea del Norte, específicamente a los grupos Lazarus, Contagious Interview (también conocido como Famous Chollima o DeceptiveDevelopment), que opera desde al menos 2022 con el objetivo principal de generar ingresos para el régimen norcoreano mediante el robo de criptomonedas y activos digitales. Su motivación, de naturaleza económica y estratégica, combina el robo directo de fondos de carteras de criptomonedas con el espionaje financiero a través del compromiso de cadenas de suministro de software y entornos de desarrollo, aprovechando campañas de ingeniería social que se hacen pasar por entrevistas de trabajo legítimas para engañar a desarrolladores de software y profesionales del sector tecnológico.