El grupo Kimsuky prioriza la persistencia en sistemas tras el phishing dirigido

El grupo de amenazas avanzadas persistentes Kimsuky, atribuido a Corea del Norte, ha centrado sus operaciones de 2026 en establecer acceso de larga duración en los sistemas de sus víctimas, superando la fase inicial de intrusión mediante correo electrónico dirigido. Esta estrategia fue detallada en la conferencia KCSCON 2026, celebrada el 8 de septiembre en Seúl, donde se analizó cómo los atacantes mantienen su presencia en las redes corporativas y gubernamentales.

El investigador de ENKI WhiteHat, Kim Young-woon, explicó que el grupo Kimsuky, activo desde 2014, utiliza el phishing dirigido como vector de entrada inicial. A diferencia de los ataques masivos, los atacantes recopilan información específica sobre el objetivo para crear escenarios de ataque personalizados. El proceso comienza con un correo dirigido a una persona específica; si la víctima responde, el atacante continúa la conversación simulando una interacción de trabajo normal. Posteriormente, se envía un archivo de acceso directo malicioso que parece un documento legítimo, lo que dificulta que la víctima sospeche de la amenaza.

Para asegurar la persistencia en el sistema comprometido, los atacantes registran tareas programadas de Windows y entradas en el registro de ejecución automática. Esto permite que el código malicioso se ejecute cada vez que el sistema se reinicia. Además, se aprovechan herramientas legítimas de control remoto, como Chrome Remote Desktop y AnyDesk, para mantener el acceso. En el caso de AnyDesk, los atacantes ocultan las indicaciones visuales en la barra de tareas y la bandeja del sistema para evitar la detección por parte de los productos de seguridad.

También se identificaron técnicas para habilitar el protocolo de escritorio remoto, creando cuentas de administrador ocultas y permitiendo la conexión a través del puerto 3389 en los firewalls. Se utilizaron herramientas de proxy para acceder a sistemas internos sin conexiones directas externas. En el ámbito del navegador, se instalaron extensiones de Chrome maliciosas para exfiltrar información de Gmail, con indicios de que el código fue generado con ayuda de inteligencia artificial generativa.

Los atacantes también emplean servicios de alojamiento de código legítimos, como GitHub, GitLab y Codeberg, para almacenar scripts maliciosos y datos robados. Algunos de estos repositorios contenían archivos con nombres en coreano. El alcance de los ataques no se limita a Corea del Sur, ya que se detectaron operaciones dirigidas a Japón y Ucrania, aunque las actividades contra objetivos surcoreanos continúan de forma constante.

Para mitigar estas amenazas, se recomienda verificar el remitente, los enlaces y los archivos adjuntos de los correos electrónicos. Las organizaciones deben auditar las tareas programadas, las entradas de ejecución automática, las herramientas de control remoto instaladas y las extensiones del navegador que no fueron instaladas por el usuario. Esta inspección integral es necesaria porque la detección basada únicamente en la identificación de archivos maliciosos ya no es suficiente frente a ataques que utilizan software legítimo.