Creación de "Ballena Azul": una fachada para atraer a expertos IT norcoreanos
Los expertos en ciberseguridad Mauro Eldritch y Heiner García diseñaron una operación encubierta que duró cinco semanas, creando la empresa ficticia de criptomonedas llamada "Ballena Azul". A través de reuniones en Zoom, se estableció contacto con un grupo de técnicos informáticos que se presume son de Corea del Norte. Los participantes creían que estaban buscando inversión para su startup, sin saber que en realidad estaban siendo monitoreados cuidadosamente. Para darle mayor credibilidad a la empresa, Eldritch utilizó datos de una compañía registrada en Reino Unido con el mismo nombre y asumió el rol de cofundador “Leonardo Nelson”, mientras que García actuó como líder del equipo, “Andy Jones”.
Servidores y tecnología revelan conexiones con actividades maliciosas norcoreanas
La investigación identificó varios servidores clave que funcionaban como puntos intermedios para conectar a los operadores con escritorios virtuales controlados por la empresa falsa. Algunos de estos servidores están vinculados con campañas previas de malware norcoreano conocidas, como InvisibleFerret y BeaverTail/OtterCookie, mientras que otros no aparecían en bases de datos de amenazas, sugiriendo que el equipo norcoreano está desplegando nueva infraestructura. Estos servidores no sólo se utilizan para distribuir malware, sino que también cumplen funciones de comando y control, así como retransmisión de tráfico. Esto indica que los técnicos tienen acceso que les permite actuar sin necesidad de desplegar directamente software malicioso, aprovechando acceso legítimo a sistemas internos y código clave de empresas objetivo, trabajando en la sombra y financiando así actividades del régimen norcoreano.
Inteligencia artificial se incorpora al método de trabajo
Además, se comprobó que el grupo utiliza herramientas de inteligencia artificial para optimizar su trabajo: ChatGPT es utilizado para codificación y resolución de dudas técnicas, mientras que Google Gemini sirve para manipular imágenes y falsificar documentos. Estos recursos compensan ciertas limitaciones técnicas del equipo. También emplean software de escritorio remoto, servicios de carteras criptográficas y aplicaciones para compartir códigos de autenticación multifactor, facilitando sus operaciones a distancia.
Reclutamiento y control con señales claras
El primer contacto de García con el equipo fue mediante un reclutador en GitHub vinculado con el grupo de amenazas “Famous Chollima”. Se sumaron así desarrolladores remotos bajo los alias “Jack Anderson”, “Angelo Espree” y “Lucas Theo”. Mediante escritorios virtuales controlados, los coordinadores asignaron tareas de programación y hasta simularon incidencias en la red para observar cómo respondían los desarrolladores. Esto permitió recolectar pruebas valiosas: chats, nodos de salida VPN y videos en vivo, que confirmaron la operación. Casos similares sobre trabajadores IT norcoreanos a distancia han salido a la luz regularmente, como la denuncia en 2025 de autoridades estadounidenses contra cuatro técnicos acusados de sustraer cifrado valorado en más de 90 000 dólares para financiar programas norteños de armas nucleares y de destrucción masiva.
La operación se desmorona al descubrirse la verdad
En la etapa final intervino “Benito Camella”, un actor que se presentó como cofundador y confrontó a los desarrolladores sobre inconsistencias en su identidad y documentos. Espree abandonó primero la videollamada y Anderson también cesó su participación tras sospechar el engaño. En el canal de Telegram del falso "Ballena Azul", el supuesto CEO y "Andy Jones" protagonizaron una discusión pública que concluyó con despidos y el abandono definitivo de la colaboración. La simulación se deshizo por errores en la contratación.
Uno de los presuntos norcoreanos contactó luego a García para disculparse en privado, mientras que no se recibieron más comunicaciones del resto. Según el equipo investigador, los participantes nunca supieron que habían sido objetivos de una investigación.
Revelaciones clave para la seguridad en criptomonedas y blockchain
Esta operación simulada extensiva permitió obtener una visión inédita sobre la forma de trabajo, recursos tecnológicos e infraestructura desplegada por equipos IT norcoreanos en remoto. Los expertos remarcan que aunque estos técnicos tal vez no ejecuten ataques directos, su acceso interno y permisos comprometidos pueden representar riesgos para plataformas de blockchain y comercio criptográfico. Tanto reguladores como actores del sector deben mantenerse alertas ante el desarrollo de estos grupos y las modalidades crecientes que emplean para operar desde la distancia.