Operación SyncHole: Ciberataque de Lazarus a empresas de Corea del Sur

El grupo hacker Lazarus de Corea del Norte ha atacado a varias empresas de Corea del Sur a través de una campaña denominada Operación SyncHole, que tuvo lugar entre noviembre de 2024 y febrero de 2025. El actor de la amenaza combinó una estrategia de “ataque de abrevadero” con la implementación de un exploit de una vulnerabilidad en el cliente de transferencia de archivos, que es obligatorio en Corea del Sur para completar ciertas tareas financieras y administrativas.

Esta campaña ha sido reportada por el equipo de inteligencia de amenazas de Kaspersky. En este reporte, se explica que las víctimas eran redirigidas desde sitios web de medios de comunicación comprometidos hasta sitios de falsos proveedores de software, donde el malware se introducía con un archivo ejecutable a través de un JavaScript malicioso. Kaspersky observó múltiples cadenas de infección en seis víctimas confirmadas, con varias diferencias en fases anteriores y posteriores del ataque, y siendo sólo la infección inicial el punto en común. Basándose en estas tácticas y en las muestras de malware detectadas en la operación SyncHole, se ha comprobado que Lazarus está evolucionando hacia herramientas ligeras y modulares que son más sigilosas y configurables.

Durante el análisis del ataque, los investigadores también encontraron un fallo de día cero no explotado (KVE-2024-0014) en versiones específicas de una plataforma de compartición de ficheros denominada “Innorix Agent”, la cual permitía la descarga arbitraria de archivos. El problema de seguridad se notificó a través de la Agencia Coreana de Internet y Seguridad (KrCERT), y el proveedor publicó actualizaciones para el software explotado.