{"id":191,"date":"2026-03-09T17:43:39","date_gmt":"2026-03-09T17:43:39","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/03\/09\/unc4899-infringio-una-empresa-de-cifrado-despues-de-que-un-desarrollador-lanzara-por-aire-un-archivo-troyanizado-al-dispositivo-de-trabajo\/"},"modified":"2026-03-09T17:43:39","modified_gmt":"2026-03-09T17:43:39","slug":"unc4899-infringio-una-empresa-de-cifrado-despues-de-que-un-desarrollador-lanzara-por-aire-un-archivo-troyanizado-al-dispositivo-de-trabajo","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/03\/09\/unc4899-infringio-una-empresa-de-cifrado-despues-de-que-un-desarrollador-lanzara-por-aire-un-archivo-troyanizado-al-dispositivo-de-trabajo\/","title":{"rendered":"UNC4899 infringi\u00f3 una empresa de cifrado despu\u00e9s de que un desarrollador lanzara por aire un archivo troyanizado al dispositivo de trabajo"},"content":{"rendered":"<div id=\"articlebody\">\n<p>El actor de amenazas norcoreano conocido como <strong>UNC4899<\/strong> Se sospecha que est\u00e1 detr\u00e1s de una sofisticada campa\u00f1a de compromiso en la nube dirigida a una organizaci\u00f3n de criptomonedas en 2025 para robar millones de d\u00f3lares en criptomonedas.<\/p>\n<p>La actividad se ha atribuido con moderada confianza al adversario patrocinado por el estado, al que tambi\u00e9n se le rastrea bajo los cripto\u00f3nimos Jade Sleet, PUKCHONG, Slow Pisces y TraderTraitor. <\/p>\n<p>\u00abEste incidente se destaca por su combinaci\u00f3n de ingenier\u00eda social, explotaci\u00f3n de mecanismos de transferencia de datos entre pares (P2P) de dispositivos personales a corporativos, flujos de trabajo y eventual giro a la nube para emplear t\u00e9cnicas de vivir fuera de la nube (LOTC)\u00bb, se\u00f1al\u00f3 el gigante tecnol\u00f3gico en su informe. <a href=\"https:\/\/services.google.com\/fh\/files\/misc\/cloud_threat_horizons_report_h12026.pdf\" rel=\"noopener\" target=\"_blank\">Informe sobre horizontes de amenazas en la nube del primer semestre de 2026<\/a> [PDF]  compartido con The Hacker News.<\/p>\n<p>Al obtener acceso al entorno de la nube, se dice que los atacantes abusaron de los flujos de trabajo leg\u00edtimos de DevOps para recopilar credenciales, romper los l\u00edmites de los contenedores y alterar las bases de datos de Cloud SQL para facilitar el robo de criptomonedas.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/not-fast-enough-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhlXM830ruQd2xT6M7JNeNRjaFa1onD12WjSCHihTFMTzbyfT9h-irPmXy_h3E1HGSs6sdv7FTmnyNVTM5kmSb7BuUtZe8gKoTQt99P1sSzRcqqXpOJP6eoAOhR3DGb6qHx9kOZ_HBZUMmVnsnd0DM7QfUp81bgzTvvgLww6oqB-EhnDfWXH5pWCYhAsyLs\/s728-e100\/tl-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>La cadena de ataque, dijo Google Cloud, representa una progresi\u00f3n de lo que comenz\u00f3 con el compromiso del dispositivo personal de un desarrollador en su estaci\u00f3n de trabajo corporativa, antes de saltar a la nube para realizar modificaciones no autorizadas a la l\u00f3gica financiera.<\/p>\n<p>Todo comenz\u00f3 cuando los actores de amenazas utilizaron estrategias de ingenier\u00eda social para enga\u00f1ar al desarrollador para que descargara un archivo como parte de una supuesta colaboraci\u00f3n en un proyecto de c\u00f3digo abierto. Luego, el desarrollador transfiri\u00f3 el mismo archivo al dispositivo de su empresa a trav\u00e9s de AirDrop.<\/p>\n<p>\u00abUtilizando su entorno de desarrollo integrado (IDE) asistido por IA, la v\u00edctima interactu\u00f3 con el contenido del archivo y finalmente ejecut\u00f3 el c\u00f3digo Python malicioso incrustado, que gener\u00f3 y ejecut\u00f3 un binario que se hac\u00eda pasar por la herramienta de l\u00ednea de comandos de Kubernetes\u00bb, dijo Google.<\/p>\n<p>Luego, el binario se puso en contacto con un dominio controlado por el atacante y actu\u00f3 como una puerta trasera para la m\u00e1quina corporativa de la v\u00edctima, brindando a los atacantes una forma de pasar al entorno de Google Cloud probablemente usando sesiones autenticadas y credenciales disponibles. A este paso le sigui\u00f3 una fase inicial de reconocimiento destinada a recopilar informaci\u00f3n sobre diversos servicios y proyectos.<\/p>\n<div class=\"separator\" style=\"clear: both;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhZO4D4LxxDvQpbsrbs0jqDTmLq0AV9bswK4cf-m70PGtHV-jMrxx7nzGAh4ut7SHVOlJ5jkLsEU5zip6M9Xl_8InIcBbCxWxUVaeVLqtijwt4xETyHti-WfqEfmwNO3Qf7rqBlNq9C-db1BmEwUfwXgpqjWRwN9wy9gLyUrBd-mi8SUVRDPePyPqRPwWai\/s1700-e365\/g1.jpg\" style=\"clear: left; display: block; float: left;  text-align: center;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhZO4D4LxxDvQpbsrbs0jqDTmLq0AV9bswK4cf-m70PGtHV-jMrxx7nzGAh4ut7SHVOlJ5jkLsEU5zip6M9Xl_8InIcBbCxWxUVaeVLqtijwt4xETyHti-WfqEfmwNO3Qf7rqBlNq9C-db1BmEwUfwXgpqjWRwN9wy9gLyUrBd-mi8SUVRDPePyPqRPwWai\/s1700-e365\/g1.jpg\" alt=\"\" border=\"0\" data-original-height=\"465\" data-original-width=\"1113\"\/><\/a><\/div>\n<p>El ataque pas\u00f3 a la siguiente fase con el descubrimiento de un <a href=\"https:\/\/en.wikipedia.org\/wiki\/Bastion_host\" rel=\"noopener\" target=\"_blank\">anfitri\u00f3n basti\u00f3n<\/a>con el adversario modificando su atributo de pol\u00edtica de autenticaci\u00f3n multifactor (MFA) para acceder a \u00e9l y realizar reconocimiento adicional, incluida la navegaci\u00f3n a pods espec\u00edficos dentro del entorno de Kubernetes.<\/p>\n<p>Posteriormente, UNC4899 adopt\u00f3 un enfoque de vivir fuera de la nube (LotC) para configurar mecanismos de persistencia alterando las configuraciones de implementaci\u00f3n de Kubernetes para ejecutar un comando bash autom\u00e1ticamente cuando se crean nuevos pods. El comando, por su parte, descargaba una puerta trasera.<\/p>\n<p>Algunos de los otros pasos llevados a cabo por el actor de amenazas se enumeran a continuaci\u00f3n:<\/p>\n<ul>\n<li>Los recursos de Kubernetes vinculados a la soluci\u00f3n de plataforma CI\/CD de la v\u00edctima se modificaron para inyectar comandos que mostraban los tokens de la cuenta de servicio en los registros.<\/li>\n<li>El atacante obtuvo un token para una cuenta de servicio CI\/CD con altos privilegios, lo que le permiti\u00f3 escalar sus privilegios y realizar movimientos laterales, apuntando espec\u00edficamente a un m\u00f3dulo que manejaba pol\u00edticas de red y equilibrio de carga.<\/li>\n<li>El token de la cuenta de servicio robado se utiliz\u00f3 para autenticarse en el pod de infraestructura confidencial que se ejecuta en modo privilegiado, escapar del contenedor e implementar una puerta trasera para acceso persistente.<\/li>\n<li>El actor de amenazas llev\u00f3 a cabo otra ronda de reconocimiento antes de centrar su atenci\u00f3n en una carga de trabajo responsable de administrar la informaci\u00f3n del cliente, como las identidades de los usuarios, la seguridad de la cuenta y la informaci\u00f3n de la billetera de criptomonedas.<\/li>\n<li>El atacante lo us\u00f3 para extraer credenciales de bases de datos est\u00e1ticas que estaban almacenadas de forma insegura en las variables de entorno del pod.<\/li>\n<li>Luego se abus\u00f3 de las credenciales para acceder a la base de datos de producci\u00f3n a trav\u00e9s de Cloud SQL Auth Proxy y ejecutar comandos SQL para realizar modificaciones en la cuenta de usuario. Esto incluy\u00f3 restablecimientos de contrase\u00f1as y actualizaciones de semillas de MFA para varias cuentas de alto valor.<\/li>\n<li>El ataque culmin\u00f3 con el uso de cuentas comprometidas para retirar con \u00e9xito varios millones de d\u00f3lares en activos digitales.<\/li>\n<\/ul>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/fs-report-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjWQgUDT06NQu9vGMPC7BWROmJABTIWg058l7oGKD-v3ZchC8_66xjbclOE9koChsRf5CEKgqrXTVrne_00PdGokh3brhvF-g33I4FYYpTukrvuNQWXZOVAfon6-2axyRoVJ4uOrXPqRhxfZUaJWEm-K9esUS3ql8VSVWAKLqyfhHLgMSXhkMTkcOtGSX7R\/s728-e100\/fs-report-d.png\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>El incidente \u00abdestaca los riesgos cr\u00edticos planteados por los m\u00e9todos de transferencia de datos P2P de persona a empresa y otros puentes de datos, modos de contenedores privilegiados y el manejo no seguro de secretos en un entorno de nube\u00bb, dijo Google. \u00abLas organizaciones deben adoptar una estrategia de defensa en profundidad que valide rigurosamente la identidad, restrinja la transferencia de datos en los puntos finales y aplique un aislamiento estricto dentro de los entornos de ejecuci\u00f3n de la nube para limitar el radio de explosi\u00f3n de un evento de intrusi\u00f3n\u00bb.<\/p>\n<p>Para contrarrestar la amenaza, se recomienda a las organizaciones implementar acceso contextual y MFA resistente al phishing, asegurarse de que solo se implementen im\u00e1genes confiables, aislar los nodos comprometidos para que no establezcan conectividad con hosts externos, monitorear procesos de contenedores inesperados, adoptar una gesti\u00f3n s\u00f3lida de secretos, aplicar pol\u00edticas para deshabilitar o restringir el intercambio de archivos entre pares mediante AirDrop o Bluetooth y montar medios externos no administrados en dispositivos corporativos.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>El actor de amenazas norcoreano conocido como UNC4899 Se sospecha que est\u00e1 detr\u00e1s de una sofisticada campa\u00f1a de compromiso en la nube dirigida a una organizaci\u00f3n de criptomonedas en 2025 para robar millones de d\u00f3lares en criptomonedas. La actividad se ha atribuido con moderada confianza al adversario patrocinado por el estado, al que tambi\u00e9n se [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":108,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[644,645,641,642,261,647,640,639,643,127,648,646,132,638],"class_list":["post-191","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-aire","tag-archivo","tag-cifrado","tag-desarrollador","tag-despues","tag-dispositivo","tag-empresa","tag-infringio","tag-lanzara","tag-por","tag-trabajo","tag-troyanizado","tag-una","tag-unc4899"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/191","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=191"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/191\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/108"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=191"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=191"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=191"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}