Lazarus Group usa ofertas de empleo falsas en LinkedIn para infectar a desarrolladores blockchain con malware en VS Code
El grupo de ciberespionaje vinculado a Corea del Norte ha perfeccionado una campaña que convierte los procesos de selección de empleo en vectores de ataque. El malware se activa al abrir un repositorio en Visual Studio Code, sin ejecutar ningún archivo sospechoso. Un desarrollador español estuvo a punto de ser víctima.
Un desarrollador español recibió en LinkedIn una oferta para trabajar en un proyecto de videojuegos descentralizado con teletrabajo total. El proceso de selección parecía completamente legítimo: contacto profesional, propuesta detallada, agendado de entrevista por Calendly y una videollamada. Lo que no sabía era que estaba siendo objetivo de Lazarus Group, el grupo de ciberespionaje vinculado al aparato estatal de Corea del Norte.
El ataque no llegó por un enlace sospechoso ni por un archivo ejecutable. Llegó como un repositorio de código para una "evaluación técnica", exactamente la acción que cualquier desarrollador realiza como parte rutinaria de un proceso de selección.
El flujo completo del ataque: de LinkedIn al malware
La campaña de Lazarus Group está diseñada para imitar con precisión un proceso de selección real. Cada paso está optimizado para generar confianza antes del momento crítico.
Por qué este vector es especialmente efectivo: Abrir un repositorio en VS Code es tan rutinario para un desarrollador como abrir un documento en Word para un administrativo. No activa ninguna alerta cognitiva de seguridad porque es exactamente lo que se espera hacer en esa fase del proceso. Lazarus Group no está explotando una vulnerabilidad técnica: está explotando el comportamiento estándar del trabajo.
El triple mecanismo de infección en el repositorio
El repositorio malicioso no depende de un único vector de ataque. Contiene tres mecanismos diseñados para ejecutarse en paralelo, garantizando la infección aunque alguno de ellos falle o sea detectado.
.vscode/tasks.json configurado para ejecutar comandos automáticamente al abrir el proyecto. Esta funcionalidad existe para automatizar tareas de desarrollo legítimas, pero aquí ejecuta código malicioso de forma silenciosa, sin que el usuario vea ningún indicador visible de ejecución.
package.json contiene scripts que se ejecutan durante el proceso estándar de instalación de dependencias (npm install). En ese momento, se exfiltran credenciales de AWS, Stripe y OpenAI almacenadas en el sistema y se establece control remoto del equipo.
El ataque no requiere que el desarrollador haga nada inusual. No hay que descargar un ejecutable, confirmar una advertencia de seguridad ni desactivar protecciones. Solo abrir una carpeta en el editor. Esa ausencia de fricción es deliberada: reduce drásticamente la probabilidad de que el objetivo se detenga a pensar si algo está mal antes de que el malware ya se haya ejecutado.
Qué roba y cómo evade la detección
El objetivo final de la campaña no es el espionaje corporativo sino el robo financiero. Lazarus Group ha acumulado, según el FBI, más de 1.500 millones de dólares en criptomonedas mediante campañas similares dirigidas específicamente al ecosistema blockchain.
La infraestructura de la campaña opera con servidores de comando y control que rotan dinámicamente desde septiembre de 2025. El grupo monitoriza activamente sus operaciones: durante el análisis de uno de los repositorios, detectaron la conexión procedente de un entorno cloud de AWS y bloquearon la respuesta en tiempo real, evidenciando que hay operadores humanos supervisando cada intento de análisis.
Señales de alerta y cómo protegerse
En los casos documentados donde el ataque no se materializó, la diferencia fue una decisión: no ejecutar el código sin auditarlo primero. Los investigadores detectaron inconsistencias que levantaron sospechas antes de que fuera demasiado tarde.
- Proceso de selección que exige ejecutar o abrir código del candidato en fases iniciales, antes de cualquier oferta formal
- Urgencia o presión para "probar" el proyecto o completar la tarea técnica rápidamente
- Repositorios con documentación genérica, generada por IA o con inconsistencias técnicas respecto a la supuesta empresa
- Entrevistadores con acento incoherente con su perfil declarado o con comportamientos que sugieren deepfake
- Ofertas especialmente atractivas para el perfil específico del objetivo, con condiciones difícilmente encontrables en el mercado
Si trabajas con código externo, estas medidas no son opcionales:
-
Desactiva las tareas automáticas en VS Code
Añade
"task.autoDetect": "off"a tu configuración o revisa manualmente.vscode/tasks.jsonantes de abrir cualquier repositorio externo. -
Audita package.json antes de ejecutar npm install
Revisa siempre los campos
scriptsy las dependencias antes de instalar. Unpreinstallopostinstallno reconocido es una señal de alerta inmediata. - Nunca ejecutes repositorios desconocidos en tu máquina host Usa siempre entornos aislados: máquinas virtuales o contenedores Docker sin acceso a tus credenciales del sistema anfitrión.
- Monitoriza conexiones salientes durante la ejecución Herramientas como Little Snitch (macOS) o simples capturas de tráfico pueden revelar conexiones a servidores externos inesperadas durante la apertura de un proyecto.
- Segmenta credenciales en entornos de prueba Nunca uses cuentas de producción de AWS, Stripe u otros servicios en entornos donde ejecutas código de terceros. Las credenciales de prueba deben tener permisos mínimos y sin acceso a datos reales.
Conclusión: La campaña de Lazarus Group no explota vulnerabilidades técnicas desconocidas: explota el comportamiento estándar de los desarrolladores en procesos de selección reales. Esa es su fortaleza y también la razón por la que seguirá siendo efectiva mientras no se instale como hábito la auditoría de repositorios antes de ejecutarlos. Con 1.500 millones acumulados según el FBI, el modelo de negocio de Lazarus está demostrando ser extraordinariamente rentable. El punto crítico no es el malware. Es la confianza que se deposita en el proceso de selección, y el momento en que esa confianza se convierte en el vector de ataque más efectivo disponible.
