{"id":34390,"date":"2025-09-03T03:30:00","date_gmt":"2025-09-03T03:30:00","guid":{"rendered":"https:\/\/globalcyberalliance.org\/seguimiento-de-kimsuky-operaciones-de-espionaje-norcoreanas-en-aide-de-gca\/"},"modified":"2025-09-04T17:40:08","modified_gmt":"2025-09-04T17:40:08","slug":"seguimiento-de-kimsuky-operaciones-de-espionaje-norcoreanas-en-aide-de-gca","status":"publish","type":"post","link":"https:\/\/globalcyberalliance.org\/es\/seguimiento-de-kimsuky-operaciones-de-espionaje-norcoreanas-en-aide-de-gca\/","title":{"rendered":"Seguimiento de Kimsuky: operaciones de espionaje norcoreanas en AIDE de GCA"},"content":{"rendered":"\n

En el per\u00edodo previo a <\/em>APNIC60, donde la directora t\u00e9cnica Leslie Daigle pronunciar\u00e1 un discurso de apertura<\/em><\/a>, publicamos una serie de art\u00edculos que abordan amenazas regionales significativas m\u00e1s all\u00e1 de los ataques de origen chino bien documentados. Presentamos cuatro campa\u00f1as distintas vinculadas a Asia basadas en ataques observados directamente en AIDE o confirmados por informes p\u00fablicos coincidentes. Cada caso ofrece una perspectiva diferente del panorama de amenazas, que abarca desde motivaciones geopol\u00edticas hasta disrupciones financieras y espionaje selectivo. Nuestro objetivo es proporcionar contexto, elevar las perspectivas regionales y preparar el escenario para un debate m\u00e1s profundo durante el discurso de apertura. Este es el segundo art\u00edculo de la serie; anteriormente examinamos el grupo con sede en Pakist\u00e1n <\/em>APT36<\/em><\/a>.<\/em><\/p>\n\n

Introducci\u00f3n<\/strong><\/h2>\n\n

Se considera ampliamente que Kimsuky, seg\u00fan informes de c\u00f3digo abierto, incluidos los de CISA<\/a> y MITRE<\/a>, est\u00e1 asociado con la actividad de espionaje cibern\u00e9tico de Corea del Norte. Algunas fuentes de inteligencia sobre amenazas caracterizan al grupo como dirigido por el estado; sin embargo, esta atribuci\u00f3n se basa en an\u00e1lisis externos en lugar de la confirmaci\u00f3n directa por parte de nuestra investigaci\u00f3n. Se ha informado que Kimsuky emplea t\u00e9cnicas globales de recopilaci\u00f3n de inteligencia, como la ingenier\u00eda social, el spear phishing y familias de malware personalizadas, incluidos BabyShark y AppleSeed. El grupo se dirige principalmente a diplom\u00e1ticos, investigadores e institutos de pol\u00edtica<\/a> en Corea del Sur, Jap\u00f3n y Estados Unidos. <\/p>\n\n

Para evaluar la actividad de Kimsuky durante un per\u00edodo de dos a\u00f1os (enero de 2023\u2013agosto de 2025), examinamos los patrones de actividad cibern\u00e9tica en Asia-Pac\u00edfico a trav\u00e9s de la plataforma AIDE<\/a> de Global Cyber Alliance. AIDE comenz\u00f3 con honeypots basados en SSH y Telnet en 55 pa\u00edses (~200 sensores). En noviembre de 2024, hizo la transici\u00f3n a la tecnolog\u00eda ProxyPot desarrollada por GCA, ahora implementada en ~200 sensores en 25 pa\u00edses y que cubre SSH, Telnet, FTP, SFTP, HTTP\/HTTPS y SMTP. Esta red distribuida revela que Kimsuky opera a trav\u00e9s de una diversa huella de alojamiento<\/a> global, utilizando servicios de infraestructura de plataformas en la nube, proveedores de telecomunicaciones y proveedores de servicios de Internet en todo el mundo para llevar a cabo operaciones de reconocimiento dirigidas a la regi\u00f3n de Asia-Pac\u00edfico. <\/p>\n\n

Nuestro an\u00e1lisis muestra sensores que detectan actividad sospechosa alineada con indicadores de compromiso (IoC) y t\u00e1cticas, t\u00e9cnicas y procedimientos (TTP) conocidos de Kimsuky, lo que demuestra las sofisticadas operaciones de reconocimiento global del grupo.<\/p>\n\n

Informaci\u00f3n de datos de AIDE<\/strong><\/h2>\n\n

Detecci\u00f3n de firma de agente de usuario<\/strong><\/h3>\n\n

Uno de los hallazgos m\u00e1s significativos en nuestro an\u00e1lisis fue la aparici\u00f3n repetida de una cadena de agente de usuario distinta de Internet Explorer 11 (IE11) en el tr\u00e1fico de Comando y Control (C2): \u00abMozilla\/5.0 (Windows NT 6.1; WOW64; Trident\/7.0; rv:11.0) like Gecko.\u00bb Esta firma se ha documentado constantemente en las campa\u00f1as de Kimsuky y sirve como un indicador confiable para las operaciones de b\u00fasqueda de amenazas. Seg\u00fan los avisos conjuntos de ciberseguridad de CISA<\/a> y FBI<\/a>, esta cadena de agente de usuario espec\u00edfica es un IoC bien establecido para las operaciones de Kimsuky. La persistencia de esta firma de navegador heredado sugiere que el grupo contin\u00faa confiando en patrones de infraestructura establecidos. <\/p>\n\n

\"Figura
Figura 1:<\/em><\/strong> La distribuci\u00f3n de firmas de agente de usuario detectadas en los sensores de AIDE, destacando la prevalencia de la firma IE11 en el tr\u00e1fico sospechoso de Kimsuky.<\/em><\/figcaption><\/figure>\n\n

<\/p>\n\n

Distribuci\u00f3n geogr\u00e1fica de la infraestructura de ataque<\/strong><\/h3>\n\n

Los sensores de AIDE detectaron ataques atribuidos a Kimsuky que se originan en infraestructura alojada en varios pa\u00edses (econom\u00edas), lo que revela la diversa huella de alojamiento global aprovechada por este actor de amenazas para las operaciones de reconocimiento (Figura 2<\/strong>).<\/p>\n\n

Los datos demuestran el uso estrat\u00e9gico de la infraestructura de alojamiento global<\/a> de Kimsuky, con servicios con sede en Panam\u00e1 que muestran el mayor volumen de actividad, seguidos por la infraestructura alojada en EE. UU. Si bien los pa\u00edses de Asia-Pac\u00edfico aparecen como fuentes de ataque, la dependencia sustancial de la infraestructura no APAC, particularmente Panam\u00e1, EE. UU., Reino Unido y Alemania, indica la preferencia del grupo por utilizar alojamiento offshore<\/a> para ocultar sus operaciones y complicar los esfuerzos de atribuci\u00f3n. <\/p>\n\n

Esta distribuci\u00f3n geogr\u00e1fica se alinea con los informes externos sobre la campa\u00f1a \u00abforceCopy<\/a>\u00bb de Kimsuky en 2024, que se\u00f1al\u00f3 su uso estrat\u00e9gico de nodos VPS offshore para evadir las eliminaciones. <\/p>\n\n

\"Figura
Figura 2:<\/em><\/strong> Distribuci\u00f3n de alojamiento offshore con Panam\u00e1 como principal fuente de tr\u00e1fico atribuido a Kimsuky.<\/em><\/figcaption><\/figure>\n\n

<\/p>\n\n

Patrones de actividad de malware<\/strong><\/h3>\n\n

AIDE captur\u00f3 repetidos intentos de inicio de sesi\u00f3n vinculados a BabyShark y AppleSeed, familias de malware asociadas durante mucho tiempo con el reconocimiento y la persistencia de Kimsuky. Su presencia en nuestros sensores muestra una dependencia continua de las cadenas de herramientas establecidas y la preparaci\u00f3n para intrusiones m\u00e1s amplias: <\/p>\n\n