"Sin necesidad de iniciar sesión"… Grupo Lazarus vinculado a Corea del Norte prepara ataque cibernético masivo

Planean explotar vulnerabilidad crítica de PHP… Instituciones gubernamentales y financieras como objetivos prioritarios

• Planean explotar vulnerabilidad crítica de PHP… Instituciones gubernamentales y financieras como objetivos prioritarios

Oficina de Respuesta a Amenazas Cibernéticas del Ministerio de Ciencia y TIC en el Complejo Gubernamental de Sejong [Foto=Yonhapnews]

 
Se han detectado indicios de que un grupo vinculado al grupo de hackers norcoreano Lazarus está preparando un ataque cibernético masivo explotando vulnerabilidades de seguridad en "PHP", el lenguaje de programación utilizado en sitios web de todo el mundo.
 
Según la industria de la ciberseguridad, la empresa de ciberseguridad singapurense CYFIRMA confirmó el 24 de octubre que usuarios que escriben en coreano estaban debatiendo planes de ataque aprovechando vulnerabilidades de PHP en la red anónima "I2P".
 
Se ha determinado que estos grupos estaban discutiendo tácticas de reconocimiento previo y métodos de ataque para comprometer servidores web en todo el mundo utilizando la vulnerabilidad "PHP2Shell" descubierta recientemente.
 
PHP2Shell es un fallo de seguridad que permite ejecutar comandos remotos en servidores mediante solicitudes web manipuladas sin requerir inicio de sesión ni autenticación adicional. Recibió una puntuación de 9,2 de 10 en el Sistema Común de Puntuación de Vulnerabilidades (CVSS), clasificándolo como crítico.
 
Entre los objetivos de ataque se incluyen como prioridad máxima instituciones gubernamentales y entidades financieras como bancos. También fueron mencionados como blancos el sector manufacturero, logística y transporte marítimo, aviación, plataformas de comercio electrónico y empresas constructoras.
 
Regionalmente, Corea del Sur, Estados Unidos, Japón, Australia, Taiwán, India, Singapur, Emiratos Árabes Unidos, Arabia Saudita y la Unión Europea figuran entre las prioridades de ataque.
 
También se detectaron indicios del uso de inteligencia artificial (IA) en los preparativos del ataque. CYFIRMA explicó que los atacantes están recopilando códigos de prueba de concepto (PoC) de vulnerabilidades públicas, utilizando sus propios modelos de IA para establecer prioridades, y realizando validaciones en entornos controlados antes de llevar a cabo ataques reales.
 
CYFIRMA designó esta actividad como la campaña "June 2026 Minjun" y sugirió una posible vinculación con el grupo Lazarus de Corea del Norte. No obstante, evaluó la confiabilidad del análisis de la conexión con Corea del Norte en un nivel "medio".
 
En la industria de la ciberseguridad también se plantean posiciones cautelosas, argumentando que es difícil atribuir definitivamente los ataques a organizaciones norcoreanas. Las razones incluyen la falta de evidencia directa de conexión, más allá de las instrucciones de ataque redactadas en coreano, la selección de objetivos centrada en instituciones gubernamentales y financieras, y la similitud con tácticas de ataque previas del grupo Lazarus.
 
Entretanto, el equipo de desarrollo de PHP distribuyó una actualización de seguridad de emergencia que corrigió la vulnerabilidad el 21 de octubre.



* Este artículo ha sido traducido por IA.