Cinco grupos que atacan Corea del Sur,
descritos con fuentes públicas
Aquí solo recogemos lo publicado en las páginas de grupos de MITRE ATT&CK, en los avisos de distintos gobiernos y en informes de empresas de seguridad.
Para cada grupo indicamos qué técnicas usa con más frecuencia, qué buscar en sus propios registros y cómo comprobar si de verdad se bloquean.
Resumen
MITRE ATT&CK clasifica los cinco grupos como vinculados al gobierno de Corea del Norte.
Genox no ha hecho ninguna atribución propia, y los incidentes citados son únicamente los que aparecen en fuentes públicas.
| Grupo | ID de ATT&CK | Objetivo principal | Objetivos relacionados con Corea del Sur según fuentes públicas | Fuente pública de referencia |
|---|---|---|---|---|
| Lazarus Group | G0032 | Espionaje, robo de fondos, destrucción | Finanzas, criptoactivos, defensa y aeronáutica. MITRE también menciona su relación con operaciones como DarkSeoul y Ten Days of Rain | CISA AA22-108A |
| Kimsuky | G0094 | Espionaje | Organismos públicos, think tanks, especialistas en diplomacia, seguridad y Corea del Norte, medios de comunicación | CISA AA20-301A, aviso conjunto de Corea del Sur y EE. UU. (junio de 2023) |
| APT37 | G0067 | Espionaje | Sobre todo Corea del Sur. Ataques de abrevadero (watering hole) a través de sitios web surcoreanos | FireEye (2018), Volexity (2021) |
| Andariel | G0138 | Espionaje, robo de fondos | Organismos públicos, ejército, empresas surcoreanas, defensa, aeronáutica, energía nuclear e ingeniería | CISA AA24-207A (junto con el NIS y la Policía Nacional de Corea) |
| APT38 | G0082 | Robo de fondos | Bancos, exchanges de criptoactivos, sistemas de pago. No hay base para decir que se centre en Corea del Sur, pero el sector financiero surcoreano entra en el mismo grupo de objetivos | CISA AA20-239A |
Fecha de referencia: 2026-11-07. Ese día volvimos a revisar las páginas de grupos de MITRE ATT&CK. Con cada versión de ATT&CK cambian la lista de técnicas y los nombres alternativos, así que consulte el original antes de usar estos datos.
Lazarus Group
MITRE lo describe como un grupo vinculado a la Oficina General de Reconocimiento (RGB), activo al menos desde 2009.
También advierte que, como las organizaciones norcoreanas comparten personal y herramientas, «Lazarus» se usa a menudo como etiqueta para toda la actividad de origen norcoreano. Cada informe le da un alcance distinto, así que no dé por hecho que se trata del mismo actor solo porque coincide el nombre.
Otros nombres
Objetivos principales
Entidades financieras, usuarios de criptoactivos y empleados de defensa y aeronáutica. En la Operation Dream Job (2019 y 2020) contactaron con empleados de estos sectores mediante ofertas de trabajo falsas y cuentas de LinkedIn.
Acceso inicial
El caso típico es el spearphishing con ofertas de empleo como cebo. El aviso CISA AA22-108A explica cómo ofrecían puestos muy bien pagados a administradores de sistemas y perfiles DevOps de empresas blockchain y les hacían descargar una aplicación maliciosa disfrazada de app de trading de criptoactivos (TraderTraitor). Una función de actualización incluida en la app descarga y ejecuta malware adicional.
El aviso conjunto que publicaron el NCSC del Reino Unido y el Servicio Nacional de Inteligencia de Corea (NIS) en noviembre de 2023 trata un ataque a la cadena de suministro que, a través del sitio web de un medio de comunicación, explotaba una vulnerabilidad de un software surcoreano de autenticación de seguridad (MagicLine4NX, CVE-2023-45797). El aviso habla solo de actores vinculados a Corea del Norte y no nombra ningún grupo concreto.
| ID de técnica | Técnica | Táctica |
|---|---|---|
| T1566.001 | Spearphishing Attachment | Acceso inicial |
| T1566.002 | Spearphishing Link | Acceso inicial |
| T1059.001 | PowerShell | Ejecución |
| T1543.003 | Windows Service (creación o modificación) | Persistencia |
| T1547.001 | Registry Run Keys · Startup Folder | Persistencia |
| T1110.003 | Password Spraying | Acceso a credenciales |
| T1557.001 | LLMNR/NBT-NS Poisoning and SMB Relay | Acceso a credenciales |
| T1560.001 | Archive via Utility | Recopilación |
| T1041 | Exfiltration Over C2 Channel | Exfiltración |
| T1485 | Data Destruction | Impacto |
Qué revisar en la detección
- Si aparece PowerShell o cmd justo después de ejecutar un archivo comprimido o un instalador recibido por mensajería o correo. Revise la relación padre e hijo en el árbol de procesos del EDR o en el evento 1 de Sysmon (creación de procesos).
- Registro de servicios nuevos (evento 7045 del registro System) y cambios en claves Run (evento 13 de Sysmon). Si un servicio aparece fuera del horario laboral, compruebe la ruta del binario y la firma aunque el nombre parezca legítimo.
- Fallos de inicio de sesión seguidos contra varias cuentas desde un mismo origen. Para ver un password spraying hay que cruzar los eventos 4625 y 4771 del registro de seguridad de Windows con los registros de inicio de sesión del servicio de identidad en la nube.
- Equipos que responden a LLMNR (UDP 5355) o NBT-NS (UDP 137) en la red. Si no los usa, desactivarlos por directiva de grupo es más fiable que intentar detectarlos.
- Procesos de software de seguridad de uso habitual en Corea del Sur, como agentes de certificados o de firma electrónica, que abren una shell o se conectan a direcciones externas desconocidas. Los ataques a la cadena de suministro entran precisamente a través de programas legítimos como estos.
Kimsuky
Grupo de espionaje activo al menos desde 2012. Al principio apuntaba a organismos públicos, think tanks y especialistas de Corea del Sur, y después amplió sus objetivos a la ONU y a los sectores gubernamental, educativo e industrial de Estados Unidos, Japón, Rusia y Europa. MITRE cita fuentes que le atribuyen la intrusión de 2014 en Korea Hydro & Nuclear Power (KHNP).
Otros nombres
Objetivos principales
Personas y organizaciones que trabajan en diplomacia y seguridad de la península de Corea, política nuclear y sanciones a Corea del Norte. El aviso conjunto de Corea del Sur y EE. UU. de junio de 2023 recoge casos en los que suplantaron a periodistas, investigadores y funcionarios para dirigirse a think tanks, universidades y medios.
Acceso inicial
En los casos publicados se repite un mismo patrón: el primer correo no lleva ningún archivo malicioso y solo pide una entrevista o una consulta. Si la víctima responde, el siguiente mensaje incluye un documento HWP u Office, un archivo LNK comprimido o un enlace a almacenamiento en la nube. También usan con frecuencia enlaces de robo de cuentas que imitan alertas de seguridad de inicio de sesión. El aviso de 2024 del FBI y otras agencias describe envíos que suplantaban dominios con políticas DMARC poco estrictas.
| ID de técnica | Técnica | Táctica |
|---|---|---|
| T1566.001 | Spearphishing Attachment (HWP, Office, LNK comprimido) | Acceso inicial |
| T1566.002 | Spearphishing Link | Acceso inicial |
| T1204.002 | Malicious File (ejecutado por el usuario) | Ejecución |
| T1059.001 | PowerShell | Ejecución |
| T1218.005 | Mshta | Evasión de defensas |
| T1547.001 | Registry Run Keys · Startup Folder | Persistencia |
| T1053.005 | Scheduled Task | Persistencia |
| T1003.001 | LSASS Memory | Acceso a credenciales |
| T1555.003 | Credentials from Web Browsers | Acceso a credenciales |
| T1102.002 | Bidirectional Communication (servicios web) | Mando y control |
Qué revisar en la detección
- mshta.exe conectándose a una URL externa o ejecutándose bajo explorer.exe a través de un LNK. En un PC de usuario normal mshta casi nunca se usa, así que basta con una línea base para filtrarlo.
- Si Hangul (Hwp.exe) o un proceso de Office lanza cmd, PowerShell o wscript como proceso hijo.
- Tareas programadas creadas con permisos de usuario. Mire el nombre de la tarea y el comando que ejecuta en el evento 4698 del registro de seguridad o en el registro operativo Microsoft-Windows-TaskScheduler.
- Procesos que no son navegadores leyendo los archivos Login Data y Cookies de Chrome o Edge, y extensiones de navegador recién instaladas.
- Correos de remitentes externos cuyo nombre visible es el de un alto cargo o un periodista, vistos en la pasarela de correo. Compruebe también que la política DMARC de su dominio no siga en p=none.
- La combinación de una cuenta de administrador local nueva (4720, 4732) y la activación del escritorio remoto. También se detecta por el cambio del valor de registro fDenyTSConnections.
APT37
Grupo de espionaje activo al menos desde 2012; MITRE indica que su objetivo principal es Corea del Sur. También se ha informado de actividad en Japón, Vietnam, Rusia y Oriente Medio, entre otros. Varios informes coinciden en el mismo método: infectar sitios web surcoreanos para atacar a quienes los visitan.
Otros nombres
Objetivos principales
Según la descripción de MITRE, el país objetivo principal es Corea del Sur. En el caso de Volexity que se cita más abajo, el blanco eran los lectores de un medio especializado en Corea del Norte. Operaciones de 2016 a 2018 como Daybreak, Erebus, Golden Time y FreeMilk están vinculadas a este grupo.
Acceso inicial
Ataques de abrevadero, distribución a través de sitios de torrents, spearphishing con adjuntos HWP y explotación de vulnerabilidades de navegadores y procesadores de documentos. Volexity informó de que en 2021 se insertó código de explotación de vulnerabilidades de Internet Explorer (CVE-2020-1380, CVE-2021-26411) en el sitio de Daily NK, un medio especializado en Corea del Norte, y de que después se utilizó el malware BLUELIGHT, que se comunica a través de Microsoft Graph API.
| ID de técnica | Técnica | Táctica |
|---|---|---|
| T1189 | Drive-by Compromise (watering hole) | Acceso inicial |
| T1566.001 | Spearphishing Attachment | Acceso inicial |
| T1203 | Exploitation for Client Execution | Ejecución |
| T1059.005 | Visual Basic | Ejecución |
| T1547.001 | Registry Run Keys · Startup Folder | Persistencia |
| T1548.002 | Bypass User Account Control | Escalada de privilegios |
| T1055 | Process Injection | Evasión de defensas |
| T1027.003 | Steganography | Evasión de defensas |
| T1123 | Audio Capture | Recopilación |
| T1102.002 | Bidirectional Communication (nube y redes sociales) | Mando y control |
Qué revisar en la detección
- Procesos de navegador que lanzan un ejecutable o un motor de scripts como proceso hijo. En condiciones normales esto casi no ocurre, así que es una regla con pocos falsos positivos.
- El uso que todavía se hace del modo Internet Explorer y de mshtml. Si saca de los datos de inventario los PC que usan el modo IE, le será más fácil priorizar los parches.
- Si procesos que no son navegadores se conectan a API en la nube como Dropbox, pCloud, Box, Yandex o Microsoft Graph API. Solo tiene sentido si se cruza con el nombre del proceso en los registros del proxy o de DNS.
- Un proceso que descarga un archivo de imagen y justo después crea una región de memoria ejecutable (carga útil oculta mediante esteganografía).
- Conexiones de red que aparecen después de abrir un documento HWP y ejecutables nuevos en carpetas temporales.
Andariel
MITRE considera a Andariel una subdivisión de Lazarus Group y señala que, al menos desde 2009, se ha centrado en organismos públicos, el ejército y empresas de Corea del Sur. Además de ataques destructivos, ha tenido actividad con fines económicos contra cajeros automáticos, bancos y exchanges de criptoactivos. El aviso CISA AA24-207A de julio de 2024 lo publicaron conjuntamente agencias de EE. UU. y del Reino Unido junto con el NIS y la Policía Nacional de Corea.
Otros nombres
Objetivos principales
Según AA24-207A, los objetivos prioritarios son defensa, aeroespacial, energía nuclear e ingeniería, seguidos de salud y energía. El mismo aviso indica que los ingresos obtenidos con ransomware contra centros sanitarios de EE. UU. se destinaron a financiar las actividades de espionaje.
Acceso inicial
Su método principal es explotar vulnerabilidades conocidas en servidores expuestos a internet e instalar web shells. El aviso menciona Log4j (CVE-2021-44228), Apache ActiveMQ (CVE-2023-46604) y TeamCity (CVE-2023-42793), entre otras. También describe campañas de phishing con archivos LNK o HTA dentro de un ZIP.
| ID de técnica | Técnica | Táctica |
|---|---|---|
| T1592.002 | Gather Victim Host Information: Software | Reconocimiento |
| T1190 | Exploit Public-Facing Application (AA24-207A) | Acceso inicial |
| T1189 | Drive-by Compromise | Acceso inicial |
| T1566.001 | Spearphishing Attachment | Acceso inicial |
| T1203 | Exploitation for Client Execution | Ejecución |
| T1505.003 | Web Shell (AA24-207A) | Persistencia |
| T1027.003 | Steganography | Evasión de defensas |
| T1049 | System Network Connections Discovery | Descubrimiento |
| T1057 | Process Discovery | Descubrimiento |
| T1105 | Ingress Tool Transfer | Mando y control |
Las técnicas sin indicación proceden de la página del grupo en MITRE; las marcadas entre paréntesis, del aviso de CISA.
Qué revisar en la detección
- Si procesos de servidores Java como Tomcat, ActiveMQ o TeamCity lanzan cmd, PowerShell o sh. Que la cuenta del servidor web ejecute una shell suele ser la primera señal.
- Archivos jsp, aspx o php nuevos o modificados en la raíz web. Si no tiene monitorización de integridad de archivos, empiece por comparar el historial de despliegues con las fechas de modificación.
- Los patrones de comandos que recoge el aviso: netstat para listar conexiones, curl para descargar archivos en carpetas temporales y vssadmin para crear una instantánea de volumen y copiar NTDS.dit.
- Ejecución de herramientas de doble uso como Mimikatz, ProcDump, AdFind, Impacket o PLINK. Compararlas con la lista de herramientas que sus administradores usan de verdad reduce los falsos positivos.
- Ejecutables empaquetados con VMProtect o Themida, movimientos por RDP entre servidores internos y, a continuación, transferencias voluminosas hacia almacenamiento en la nube o FTP.
APT38
Grupo con fines económicos vinculado a la Oficina General de Reconocimiento. Al menos desde 2014 ha atacado bancos, entidades financieras, casinos, exchanges de criptoactivos, terminales SWIFT y cajeros automáticos en al menos 38 países. El caso más citado es el del Banco Central de Bangladés en 2016. Las fuentes públicas no señalan a Corea del Sur en particular, pero lo incluimos porque los bancos y los proveedores de criptoactivos surcoreanos forman parte del mismo grupo de objetivos.
Otros nombres
Objetivos principales
Servidores de switch de pagos y terminales SWIFT de los bancos, procesadores de pagos interbancarios y exchanges de criptoactivos. La página del grupo en MITRE también recoge un compromiso de la cadena de suministro de software mediante paquetes npm.
Acceso inicial
CISA AA20-239A enumera spearphishing con adjuntos disfrazados de candidaturas de empleo, ataques de abrevadero, vulnerabilidades en aplicaciones expuestas a internet, cuentas legítimas robadas, proveedores externos con relación comercial y servicios de acceso remoto externos. Una vez dentro, utilizaron el malware FASTCash, que intercepta los mensajes de autorización ISO 8583 en el switch de pagos para aprobar retiradas de efectivo en cajeros.
| ID de técnica | Técnica | Táctica |
|---|---|---|
| T1195.001 | Compromise Software Dependencies and Development Tools | Acceso inicial |
| T1566.001 | Spearphishing Attachment | Acceso inicial |
| T1189 | Drive-by Compromise | Acceso inicial |
| T1059.001 | PowerShell | Ejecución |
| T1543.003 | Windows Service (creación o modificación) | Persistencia |
| T1553.005 | Mark-of-the-Web Bypass | Evasión de defensas |
| T1070.006 | Timestomp | Evasión de defensas |
| T1565.002 | Transmitted Data Manipulation | Impacto |
| T1657 | Financial Theft | Impacto |
| T1485 | Data Destruction | Impacto |
Qué revisar en la detección
- Procesos y bibliotecas compartidas nuevos en los servidores de switch de pagos (incluidos AIX y Linux). Estos servidores cambian poco, así que las listas de permitidos funcionan bien.
- Inicios de sesión fuera del horario laboral en terminales SWIFT y servidores de pago, y sesiones de administrador desde orígenes poco habituales.
- Excepciones nuevas en las reglas del cortafuegos para los puertos 443, 6443, 8443 y 9443. Es un patrón que describe AA20-239A, así que puede cotejarlo directamente con los registros de gestión de cambios.
- Scripts postinstall que se conectan al exterior o lanzan una shell durante un npm install en equipos de desarrollo y servidores de build.
- Ejecución de archivos contenidos en imágenes de disco como ISO, IMG o VHD (evasión de MotW) y borrado de registros de eventos (evento 1102 del registro de seguridad).
Antes de usar esta información
La información sobre grupos es un buen punto de partida, pero si se convierte tal cual en reglas de detección, algo se queda fuera.
Cada proveedor delimita y nombra los grupos a su manera
El propio MITRE incluye en las cinco páginas de grupo una nota que viene a decir que las definiciones de los grupos norcoreanos se solapan mucho entre sí. Andariel se trata a veces como subdivisión de Lazarus, y APT38 se agrupa con BlueNoroff bajo un mismo nombre. Prepararse por técnicas genera menos confusión que hacerlo por nombres de grupo.
No hemos incluido IoC a propósito
Hashes, IP y dominios cambian en cuestión de semanas. Si los necesita, descargue los archivos STIX y las reglas YARA adjuntos a los avisos citados. Esta página se centra en patrones de comportamiento que siguen siendo válidos durante más tiempo.
Solo hemos elegido una parte de las técnicas
Cada grupo tiene decenas de técnicas registradas en ATT&CK. Aquí hemos elegido entre 6 y 10 para que se vea el recorrido desde el acceso inicial hasta el impacto. La lista completa se puede descargar como capa de ATT&CK Navigator desde la página del grupo en MITRE.
Sin registros, los puntos de detección no sirven de nada
Cuando hacemos revisiones, es habitual encontrar Sysmon instalado solo en algunos servidores o el registro de bloques de script de PowerShell (4104) desactivado. Antes de revisar los puntos anteriores, compruebe que esos registros se están recogiendo de verdad.
¿Se bloquean estas técnicas en su entorno?
En la validación proactiva ejecutamos las técnicas de estos grupos dentro del alcance que usted apruebe y le entregamos un mapa ATT&CK con lo que se bloqueó, lo que se detectó y lo que pasó desapercibido. La suscripción a información de amenazas está en la página de inteligencia de amenazas.
Referencias
Todas consultadas el 2026-11-07.
- Lazarus Group, G0032, MITRE ATT&CK
- Kimsuky, G0094, MITRE ATT&CK
- APT37, G0067, MITRE ATT&CK
- Andariel, G0138, MITRE ATT&CK
- APT38, G0082, MITRE ATT&CK
- TraderTraitor: North Korean State-Sponsored APT Targets Blockchain Companies (AA22-108A), FBI · CISA · Departamento del Tesoro de EE. UU., abril de 2022
- UK and Republic of Korea issue warning about DPRK state-linked cyber actors attacking software supply chains, NCSC del Reino Unido · NIS de Corea, noviembre de 2023
- North Korean Advanced Persistent Threat Focus: Kimsuky (AA20-301A), CISA · FBI · CNMF, octubre de 2020
- North Korea Using Social Engineering to Enable Hacking of Think Tanks, Academia, and Media, NIS · Policía Nacional de Corea · Ministerio de Asuntos Exteriores de Corea · FBI · Departamento de Estado de EE. UU. · NSA, junio de 2023
- North Korean Actors Exploit Weak DMARC Security Policies to Mask Spearphishing Efforts, FBI y otros, mayo de 2024
- APT37 (Reaper): The Overlooked North Korean Actor, FireEye, 2018
- North Korean APT InkySquid Infects Victims Using Browser Exploits, Volexity, agosto de 2021
- North Korea Cyber Group Conducts Global Espionage Campaign to Advance Regime's Military and Nuclear Programs (AA24-207A), FBI · CISA · NSA · NIS · Policía Nacional de Corea y otros, julio de 2024
- FASTCash 2.0: North Korea's BeagleBoyz Robbing Banks (AA20-239A), CISA · Departamento del Tesoro de EE. UU. · FBI · USCYBERCOM, agosto de 2020
- APT38: Un-usual Suspects, FireEye, 2018