El malware de empleos falsos de Corea del Norte: cuatro razones por las que mi antivirus se quedó callado

En resumen: caí dos veces en empleos falsos de Upwork, y mi antivirus no dijo nada ninguna de las dos. Las fuentes dan cuatro razones por las que no tenía nada que objetar: ejecuté el código yo mismo, así que las comprobaciones del Mac se hicieron a un lado; usaba herramientas de confianza como node, curl y bash; las variantes eran nuevas, así que las firmas llegaron después; y una sesión de inicio de sesión robada puede saltarse la 2FA. La solución a la que apuntan las fuentes: trata cada instalación como código, desconfía de quien te pida ejecutar un comando en la terminal y comprueba qué hace el código antes de que se ejecute por primera vez.

Callado, dos veces

Esta es mi propia historia; conté los dos encuentros en Dos trabajos falsos en Upwork, un Mac infectado. Lo que más me molestó: "neither macOS's built-in XProtect nor traditional antivirus made a sound, either time." (ni XProtect, el antivirus integrado de macOS, ni los antivirus tradicionales dijeron nada, ninguna de las dos veces).

Eso no significa que el antivirus sea inútil. Las fuentes de abajo dicen que va por detrás y que lo esquivan, no que no sirva para nada.

1. Lo ejecuté yo mismo

Microsoft Threat Intelligence describe una campaña para macOS del actor norcoreano Sapphire Sleet "that relies on social engineering rather than software vulnerabilities." (que se basa en la ingeniería social y no en vulnerabilidades de software).

En palabras de Microsoft: "By persuading users to manually execute AppleScript or Terminal‑based commands, Sapphire Sleet shifts execution into a user‑initiated context, allowing the activity to proceed outside of macOS protections such as Transparency, Consent, and Control (TCC), Gatekeeper, quarantine enforcement, and notarization checks." (al convencer a los usuarios de ejecutar a mano comandos de AppleScript o de Terminal, Sapphire Sleet traslada la ejecución a un contexto iniciado por el usuario, lo que permite que la actividad transcurra fuera de protecciones de macOS como Transparencia, Consentimiento y Control (TCC), Gatekeeper, la cuarentena y las comprobaciones de notarización).

2. Herramientas de confianza

De nuevo Microsoft: "This activity demonstrates how threat actors continue to rely on user interaction and trusted system utilities to bypass macOS platform security protections, rather than exploiting traditional software vulnerabilities." (esta actividad demuestra cómo los actores de amenazas siguen apoyándose en la interacción del usuario y en utilidades de sistema de confianza para eludir las protecciones de seguridad de la plataforma macOS, en lugar de explotar vulnerabilidades de software tradicionales).

Eso coincide con lo que vi: "These attacks come in new packaging every time and use the most ordinary tools there are, like node, curl and bash, so traditional antivirus has no reason to find them suspicious." (estos ataques llegan con un envoltorio nuevo cada vez y usan las herramientas más corrientes que existen, como node, curl y bash, así que un antivirus tradicional no tiene motivos para sospechar).

3. Nuevo, así que sin firma

Las firmas sí llegan, una vez que se conoce una campaña: Microsoft señala que "Apple has also deployed XProtect signatures to detect and block the malware families associated with this campaign—macOS devices receive these signature updates automatically." (Apple también ha desplegado firmas de XProtect para detectar y bloquear las familias de malware asociadas a esta campaña; los dispositivos macOS reciben estas actualizaciones de firmas automáticamente).

Pero las variantes nuevas pueden pasar desapercibidas cuando se descubren. SentinelOne, a principios de 2025, informó de "newly discovered samples that we have labelled 'FlexibleFerret' and which remain undetected by XProtect at the time of writing." (muestras recién descubiertas que hemos llamado 'FlexibleFerret' y que XProtect sigue sin detectar en el momento de escribir esto).

Retirar los paquetes tampoco lo acaba. Socket: "Since our July 14, 2025 update, we have identified and analyzed more than 338 malicious packages with over 50,000 cumulative downloads." (desde nuestra actualización del 14 de julio de 2025, hemos identificado y analizado más de 338 paquetes maliciosos con más de 50 000 descargas acumuladas). Y: "We continue to see weekly upload bursts, rapid re-uploads after takedowns, and iterative changes to loaders and postinstall scripts." (seguimos viendo ráfagas semanales de subidas, resubidas rápidas tras las retiradas y cambios iterativos en los loaders y los scripts postinstall).

4. Una sesión robada se salta la 2FA

Microsoft, sobre el phishing, en 2022: "Once the attacker obtains the session cookie, they can inject it into their browser to skip the authentication process, even if the target's MFA is enabled." (una vez que el atacante obtiene la cookie de sesión, puede inyectarla en su navegador para saltarse el proceso de autenticación, aunque la víctima tenga activada la MFA).

En Bybit, según el FBI, "North Korea was responsible for the theft of approximately $1.5 billion USD in virtual assets from cryptocurrency exchange, Bybit" (Corea del Norte fue responsable del robo de aproximadamente 1500 millones de dólares en activos virtuales del exchange de criptomonedas Bybit). Safe{Wallet}, citado por The Hacker News: "The attack involved the compromise of a Safe{Wallet} developer's laptop ('Developer1') and the hijacking of AWS session tokens to bypass multi-factor authentication ('MFA') controls." (el ataque implicó comprometer el portátil de un desarrollador de Safe{Wallet} ('Developer1') y secuestrar tokens de sesión de AWS para eludir los controles de autenticación multifactor ('MFA')).

Hasta los expertos caen

El FBI: "Given the scale and persistence of this malicious activity, even those well versed in cybersecurity practices can be vulnerable to North Korea's determination to compromise networks connected to cryptocurrency assets." (dada la escala y la persistencia de esta actividad maliciosa, incluso quienes conocen bien las prácticas de ciberseguridad pueden ser vulnerables a la determinación de Corea del Norte de comprometer redes conectadas a criptoactivos).

La solución

1. Comprueba qué hace el código antes de que se ejecute por primera vez, no cómo se llama. Es lo que saqué en claro de los dos encuentros.
2. Cada instalación es código. Socket: "Treat every npm install as code execution and block risky behavior before it reaches developer machines or pipelines." (trata cada npm install como ejecución de código y bloquea el comportamiento de riesgo antes de que llegue a las máquinas de los desarrolladores o a los pipelines).
3. Nunca pegues el comando de un desconocido. Microsoft aconseja: "Educate users about social engineering threats originating from social media and external platforms, particularly unsolicited outreach requesting software downloads, virtual meeting tool installations, or execution of terminal commands." (formar a los usuarios sobre las amenazas de ingeniería social que llegan desde redes sociales y plataformas externas, en especial los contactos no solicitados que piden descargar software, instalar herramientas de reuniones virtuales o ejecutar comandos en la terminal).

Después de mis dos encuentros creé Tsuba, una app gratis para Mac con una sola idea: "before unfamiliar code runs for the first time, it takes a look for you." (antes de que un código desconocido se ejecute por primera vez, le echa un vistazo por ti).

Fuentes

• Oliver Zhang, Dos trabajos falsos en Upwork, un Mac infectado, 28 oct 2026
• Microsoft Threat Intelligence, Dissecting Sapphire Sleet's macOS intrusion from lure to compromise, 16 abr 2026
• SentinelOne, macOS FlexibleFerret: Further Variants of DPRK Malware Family Unearthed, actualizado el 2 sep 2025
• Socket, North Korea's Contagious Interview Campaign Escalates: 338 Malicious npm Packages, 50,000 Downloads, 10 oct 2025
• Microsoft, From cookie theft to BEC: Attackers use AiTM phishing sites as entry point to further financial fraud, 12 jul 2022
• The Hacker News, Safe{Wallet} Confirms North Korean TraderTraitor Hackers Stole $1.5 Billion in Bybit Heist, 7 mar 2025
• FBI, PSA 250226 (Bybit), 26 feb 2025
• FBI, PSA 240903: North Korea Aggressively Targeting Crypto Industry with Well-Disguised Social Engineering Attacks, 3 sep 2024

El vídeo está animado con código y el guion se escribió con ayuda de IA; cada cita de arriba está contrastada con las fuentes. Ilustrativo: el escudo de "sin amenazas", las puertas que se abren a un lado, el escáner y sus rayos X, la línea temporal de firmas y la cookie de sesión. Este artículo explica el riesgo y la solución, no cómo funciona el malware. El vídeo está en inglés. Hecho con Shotloop, mi app gratis para Mac de explicativos hechos con código, corregidos plano a plano.