Archives 2026

La Sombra de Lazarus: Un Recorrido por la Historia del Grupo Hacker Más Temido

En el vasto y complejo panorama de la ciberseguridad global, pocos nombres resuenan con tanta notoriedad y temor como el del Grupo Lazarus. Una entidad enigmática y prolífica, Lazarus no es un mero colectivo de hackers; es una fuerza patrocinada por el estado, una herramienta digital de Corea del Norte, diseñada para la obtención de divisas, el espionaje y la desestabilización. Su historia es un testimonio de la evolución de la guerra cibernética, la tenacidad ante las sanciones internacionales y la implacable adaptación a un mundo cada vez más digitalizado.

 Orígenes y Primeros Destellos en la Península Coreana

Aunque su irrupción en el escenario global se consolidó a mediados de la década de 2010, las raíces del Grupo Lazarus se extienden al menos hasta principios de los 2000. Sus primeras operaciones, a menudo atribuidas a subgrupos como Andariel o Bluenoroff, se centraron predominantemente en objetivos en Corea del Sur. Estos ataques iniciales, que incluyeron desde la interrupción de servicios gubernamentales y bancarios hasta el robo de información militar y de defensa, ya revelaban una sofisticación técnica inusual y una persistencia que los distinguía de otros actores. Operaciones como “DarkSeoul” en 2013, que paralizó redes de bancos y emisoras de radio y televisión surcoreanas con malware de tipo “wiper”, marcaron una escalada y demostraron la capacidad destructiva del grupo. Desde entonces, el patrón de ciberataques contra su vecino del sur ha sido una constante.

 El Salto a la Fama Global: Sony Pictures Entertainment (2014)

El año 2014 marcó un punto de inflexión. El Grupo Lazarus, bajo el alias “Guardians of Peace” (GoP), lanzó un ataque devastador contra Sony Pictures Entertainment. La motivación aparente: la película “The Interview”, una comedia que satirizaba al líder norcoreano Kim Jong-un. El ataque no solo implicó la exfiltración masiva de datos sensibles —incluyendo correos electrónicos, información financiera y guiones de películas— sino también la destrucción de miles de computadoras mediante malware wiper. La intrusión paralizó la compañía durante semanas y generó pérdidas millonarias. Este incidente no solo puso a Lazarus en el mapa de las principales agencias de inteligencia occidentales, sino que también estableció un precedente preocupante: un estado utilizando el ciberespacio para la censura y la represalia política a una escala sin precedentes.

 La Transición Hacia la Obtención de Divisas: Los Golpes a SWIFT (2016)

Con las sanciones internacionales estrangulando cada vez más la economía norcoreana, Lazarus experimentó una evolución estratégica. Su enfoque se desplazó notablemente hacia la ciberdelincuencia financiera a gran escala, buscando rellenar las arcas del régimen. El incidente más notorio de esta era fue el audaz robo de 81 millones de dólares del Banco de Bangladés en 2016, parte de una operación más amplia contra el sistema de mensajería interbancaria SWIFT. Los hackers de Lazarus manipularon el sistema SWIFT para solicitar transferencias fraudulentas, aprovechando sofisticadas técnicas de ingeniería social y malware personalizado. Este ataque, junto con otros intentos similares en bancos de Vietnam, Ecuador y Polonia, demostró una nueva faceta del grupo: la capacidad de operar en la intersección del espionaje estatal y el crimen organizado, con un claro propósito de financiamiento para el programa de armas de Pyongyang.

El Impacto Global de WannaCry (2017)

El año 2017 vio a Lazarus detrás de uno de los ciberataques más extendidos y disruptivos de la historia: el ransomware WannaCry. Este ataque, que explotó una vulnerabilidad conocida como “EternalBlue” (presuntamente robada a la NSA), afectó a cientos de miles de computadoras en más de 150 países, paralizando hospitales, empresas y agencias gubernamentales. Aunque la motivación principal de WannaCry parecía ser el caos y la extorsión a pequeña escala mediante bitcoins, las agencias de inteligencia atribuyeron rápidamente el ataque a Lazarus. El incidente subrayó la capacidad del grupo no solo para orquestar ataques dirigidos, sino también para lanzar campañas de “daño colateral” masivo, con un impacto global que trascendió las fronteras geopolíticas.

 La Era de las Criptomonedas y la Adaptación Continua

En los años posteriores a WannaCry, el Grupo Lazarus ha mantenido su implacable búsqueda de fondos, adaptándose magistralmente al auge de las criptomonedas. La naturaleza descentralizada y a menudo pseudónima de los activos digitales se convirtió en un objetivo ideal para evadir las sanciones. El grupo ha sido vinculado a una serie de robos de alto perfil de intercambios de criptomonedas y plataformas DeFi (Finanzas Descentralizadas), incluyendo el robo de 625 millones de dólares del puente Ronin de Axie Infinity en 2022 y el de 100 millones de dólares del puente Harmony Horizon, entre muchos otros. Estas operaciones han demostrado una constante evolución en sus tácticas, utilizando desde campañas de phishing altamente dirigidas a desarrolladores hasta la explotación de vulnerabilidades de día cero, siempre con el objetivo de convertir criptoactivos en moneda fiduciaria utilizable por el régimen norcoreano.

Tácticas, Técnicas y Procedimientos (TTPs)

La persistencia y sofisticación son sellos distintivos de Lazarus. Sus TTPs incluyen: Ingeniería Social: Campañas de phishing y spear-phishing extremadamente elaboradas, a menudo presentándose como reclutadores de empleo o contactando a sus víctimas a través de LinkedIn. Explotación de Vulnerabilidades:  Uso de exploits conocidos y, en ocasiones, de día cero para infiltrarse en redes. Malware Personalizado:  Desarrollo de una vasta suite de herramientas maliciosas, incluyendo “wiper”, ransomware, troyanos de acceso remoto (RATs) y puertas traseras persistentes. Ataques a la Cadena de Suministro: Infiltración en proveedores de software o servicios para comprometer a sus clientes. Living Off The Land (LotL):Utilización de herramientas legítimas del sistema operativo para pasar desapercibidos una vez dentro de una red. Paciencia y Persistencia: A menudo establecen puntos de apoyo en las redes de sus víctimas durante meses antes de lanzar un ataque completo.

El Legado y la Amenaza Continua

El Grupo Lazarus ha evolucionado de ser un disruptor regional a una potencia cibernética global, con un historial de ataques que abarcan desde el espionaje hasta el sabotaje y el robo financiero a gran escala. Su historia es la crónica de un adversario que opera en una zona gris donde los crímenes cibernéticos y la geopolítica se entrelazan indisolublemente. Mientras Corea del Norte siga bajo un régimen de sanciones y necesite desesperadamente financiación para sus ambiciones militares, el Grupo Lazarus seguirá siendo una de las amenazas más adaptables, sofisticadas y peligrosas en el ciberespacio, desafiando constantemente las defensas globales y obligando a los expertos en ciberseguridad a una vigilancia sin cuartel.

En la industria de la telefonía móvil, la integridad del dispositivo se basa en una cadena de confianza que comienza en la fábrica. Sin embargo, investigaciones recientes han puesto bajo la lupa al gigante surcoreano Samsung, no solo por fallos de seguridad accidentales, sino por la inclusión de componentes de software preinstalados que caminan por la delgada línea entre la monetización agresiva y la vigilancia técnica. Este fenómeno, que afecta desde modelos económicos hasta dispositivos insignia, plantea preguntas críticas sobre la soberanía digital del usuario y la transparencia de los fabricantes.

La controversia AppCloud: ¿Publicidad o Vigilancia?

El centro del debate actual es un servicio del sistema identificado como AppCloud (paquete com.aura.oobe.samsung.gl o com.ironsource.appcloud.oobe). Este software, integrado profundamente en el firmware de las series Galaxy A, M y F, ha sido calificado por organizaciones de derechos digitales como SMEX como un “bloatware invasivo”.

Técnicamente, AppCloud no es una aplicación convencional; opera con privilegios de sistema, lo que le permite descargar archivos sin notificar al usuario, acceder a la red de forma total y recolectar telemetría sensible que incluye direcciones IP y, potencialmente, datos biométricos. Lo más preocupante para los expertos es su persistencia: el software es virtualmente imposible de eliminar mediante métodos estándar y tiende a reactivarse tras las actualizaciones del sistema. Esta aplicación es fruto de una asociación con ironSource (ahora propiedad de Unity), una empresa con un historial cuestionado por prácticas de privacidad, lo que ha generado tensiones geopolíticas en regiones como Medio Oriente debido a sus orígenes israelíes.

LANDFALL: El espionaje de “Cero Clics”

Más allá de las decisiones comerciales de preinstalación, Samsung ha enfrentado vulnerabilidades críticas en sus librerías de fábrica que han sido explotadas por spyware de grado comercial. El caso más emblemático es el de LANDFALL, un sofisticado malware descubierto por la unidad Unit 42 de Palo Alto Networks.

LANDFALL utilizó una vulnerabilidad de “escritura fuera de límites” identificada como CVE-2025-21042 en la librería libimagecodec.quram.so, un componente encargado de procesar imágenes DNG preinstalado en todos los dispositivos Galaxy. Lo que hace a LANDFALL particularmente peligroso es su vector de ataque de “cero clics”: el dispositivo podía verse comprometido simplemente al recibir una imagen malformada a través de aplicaciones como WhatsApp, sin que el usuario tuviera que abrir el archivo. Una vez dentro, el spyware funcionaba como un centro de vigilancia total, con capacidad para grabar audio, rastrear la ubicación GPS en tiempo real y exfiltrar mensajes, fotos y registros de llamadas.

Fallos en One UI: La persistencia de datos sensibles

La interfaz propia de Samsung, One UI, también ha mostrado debilidades en la gestión de la privacidad cotidiana. En abril de 2025, se reveló que la función del portapapeles (clipboard) de One UI almacenaba todos los elementos copiados —incluyendo contraseñas y datos bancarios— en texto plano y sin expiración automática.

A diferencia del Android estándar (AOSP), que limpia el portapapeles después de una hora, el sistema de Samsung mantenía esta información de forma indefinida, dejándola vulnerable a troyanos de robo de información (infostealers) o a cualquier persona con acceso físico al terminal. Esta vulnerabilidad persistía incluso si el usuario optaba por teclados de terceros como Gboard, ya que la integración a nivel de sistema de Samsung puenteaba las protecciones externas.

Respuesta Regulatoria y Medidas de Mitigación

Ante la acumulación de reportes, organismos como la Comisión de Comunicaciones de Corea (KCC) han iniciado investigaciones sobre aplicaciones preinstaladas como “Studio”, sospechosa de violar las leyes de telecomunicaciones al restringir la libertad de eliminación de los usuarios. Asimismo, agencias de seguridad como CISA en Estados Unidos han ordenado el parcheo urgente de las vulnerabilidades explotadas por LANDFALL tras incluirlas en su catálogo de vulnerabilidades explotadas conocidas (KEV).

Para los usuarios preocupados por su seguridad, las recomendaciones técnicas son claras:

1. Actualización Inmediata: Instalar los parches de seguridad (SMR) de Samsung de forma prioritaria, especialmente aquellos lanzados a partir de abril de 2025.
2. Activación de Auto Blocker: Utilizar las funciones de seguridad nativas de Samsung que limitan la instalación de apps de fuentes no autorizadas y protegen contra exploits basados en imágenes.
3. Gestión de Permisos: Revisar y revocar permisos innecesarios de aplicaciones del sistema y evitar el uso del portapapeles para datos altamente sensibles.

En conclusión, aunque Samsung mantiene una arquitectura de seguridad robusta a nivel de hardware con Knox, la presencia de componentes como AppCloud y la explotación de librerías nativas demuestran que el software que viene “de fábrica” requiere un escrutinio constante. La seguridad móvil en 2026 ya no se trata solo de lo que el usuario instala, sino de gestionar activamente lo que el fabricante decidió instalar por él.

La idea de que nuestros teléfonos contienen “un pedazo de Israel” no se refiere a un componente físico o un chip insertado por diseño, sino a la profunda y a menudo controvertida influencia de la sofisticada industria de ciberseguridad ofensiva de Israel en el panorama global de la vigilancia digital. Compañías como NSO Group (creadores de Pegasus), QuaDream, Candiru e Intellexa representan la vanguardia de esta capacidad, desarrollando herramientas que pueden transformar un dispositivo móvil común en una ventana abierta a la vida de su usuario, con implicaciones profundas para la privacidad y los derechos humanos en todo el mundo.

El Ecosistema Israelí de Ciberseguridad Ofensiva: Un Vistazo

Israel se ha posicionado como un líder mundial en tecnología de ciberseguridad, impulsado por una combinación única de inversión en investigación y desarrollo, un ecosistema de startups dinámico y un talento forjado en unidades de inteligencia militar de élite, como la famosa Unidad 8200. Esta sinergia ha propiciado el surgimiento de empresas que no solo defienden infraestructuras críticas, sino que también desarrollan sofisticadas herramientas de ataque y vigilancia, conocidas como “spyware de grado militar”. Estas herramientas están diseñadas para ser vendidas exclusivamente a gobiernos y agencias de aplicación de la ley, con la promesa de combatir el terrorismo y el crimen. Sin embargo, su uso ha desatado un intenso debate ético y legal.

Pegasus: El Jinete de la Controversia

Quizás el más infame de estos actores es NSO Group, desarrollador de Pegasus. Este spyware es una de las herramientas de vigilancia más potentes y sigilosas jamás creadas. Capaz de infectar teléfonos iOS y Android a través de exploits de día cero y “zero-click” (sin interacción del usuario), Pegasus otorga a sus operadores un control casi total sobre el dispositivo. Puede extraer mensajes, fotos, grabaciones, acceder al micrófono y la cámara en tiempo real, y rastrear la ubicación GPS del usuario. Aunque NSO Group insiste en que su tecnología solo se vende a gobiernos legítimos para fines de seguridad nacional, múltiples investigaciones periodísticas han revelado su uso para espiar a periodistas, disidentes, activistas de derechos humanos y opositores políticos en decenas de países, desatando una condena global y colocando a la compañía en la lista negra de entidades del gobierno de EE. UU.

QuaDream: Un Competidor Silencioso pero Potente

Menos publicitada que NSO Group, pero no menos potente, es la firma QuaDream. Esta compañía israelí también ha desarrollado su propio spyware altamente sofisticado, capaz de vulnerar teléfonos móviles con un funcionamiento y capacidades muy similares a Pegasus. Investigaciones recientes han sacado a la luz la existencia de su herramienta de vigilancia, a menudo referida como “Reign“, y cómo también explotaba vulnerabilidades críticas en dispositivos iOS para instalarse de forma encubierta. QuaDream representa una prueba más de que el mercado de la cibersegilancia ofensiva es competitivo y está poblado por actores con capacidades técnicas de vanguardia, a menudo operando en las sombras y ofreciendo soluciones que desafían los límites de la privacidad individual.

Candiru: El Enfoque en Windows y Más Allá

Mientras Pegasus y QuaDream se han centrado predominantemente en la vigilancia móvil, Candiru (también una empresa israelí, conocida por su sigilo y sus nombres en clave, como “Saito Tech” o “Pulsar Technologies“) ha diversificado su cartera de exploits. Aunque también ha incursionado en el ámbito móvil, Candiru es notable por desarrollar herramientas de spyware capaces de infectar sistemas operativos Windows y Linux, a menudo a través de vulnerabilidades en navegadores web. Su modus operandi implica sofisticados exploits de día cero para infiltrarse en computadoras y redes, permitiendo a sus clientes gubernamentales una vigilancia amplia y profunda, desde la extracción de datos hasta el monitoreo de comunicaciones en tiempo real. Su existencia subraya la amplitud del arsenal de ciberespionaje disponible en el mercado israelí.

Intellexa: El Consorcio de la Vigilancia

A diferencia de las empresas anteriores, Intellexa no es el desarrollador de un spyware específico, sino un consorcio o “alianza de inteligencia” que agrupa a varias empresas europeas e israelíes, ofreciendo una “solución integral” de vigilancia y ciberseguridad ofensiva. Intellexa comercializa una gama de tecnologías, incluyendo herramientas de intrusión móvil y de red, extracción de datos, e incluso hardware de vigilancia. A menudo se le asocia con el spyware “Predator”, desarrollado por la firma chipriota-griega Cytrox, una de las empresas que forman parte o colaboran con Intellexa. Este modelo de consorcio destaca la creciente interconexión y colaboración entre diferentes actores en el ecosistema de la cibersegilancia, facilitando la venta y distribución de estas herramientas a una clientela global, a veces con menos escrutinio que los vendedores individuales.

¿Cómo llega “un pedazo de Israel” a nuestros teléfonos?

La “pieza de Israel” en nuestros teléfonos no es tangible, sino la presencia latente de sus capacidades y el impacto de su tecnología. Se manifiesta de varias maneras:

1. Vulnerabilidades Explotadas: Estas empresas descubren y explotan vulnerabilidades de día cero en los sistemas operativos y aplicaciones más populares (iOS, Android, WhatsApp, etc.). Al estar nuestros teléfonos inherentemente conectados y actualizados con estos sistemas, se convierten en posibles blancos.

2. Mercado Global: Aunque estas herramientas se venden a gobiernos, la naturaleza del mercado global de ciberseguridad ofensiva significa que pueden ser adquiridas por una amplia gama de naciones, algunas con historiales cuestionables en derechos humanos. Una vez compradas, estas herramientas se despliegan contra individuos en cualquier parte del mundo.

3. Filtraciones y Proliferación: Como cualquier tecnología, el spyware puede filtrarse, ser revendido o caer en manos equivocadas, lo que aumenta la probabilidad de que sus capacidades se utilicen de forma maliciosa contra objetivos civiles.

4. Influencia Indirecta: Incluso sin ser directamente atacado, la existencia de estas herramientas y la amenaza que representan obligan a las empresas tecnológicas a mejorar constantemente la seguridad de sus productos, impactando así el diseño y la protección de todos nuestros dispositivos.

Implicaciones y el Debate Ético

La proliferación de spyware de grado militar desarrollado en Israel, y por empresas similares en otras partes del mundo, plantea un dilema ético y de seguridad fundamental. Si bien las herramientas se justifican para combatir el terrorismo, su uso indiscriminado contra periodistas, abogados y opositores políticos socava la democracia, la libertad de prensa y los derechos humanos fundamentales. La falta de una regulación internacional robusta, la opacidad de las ventas y la dificultad de rastrear el uso final de estas herramientas han convertido la industria en un campo minado.

La “pieza de Israel” en nuestros teléfonos, por tanto, es una metáfora poderosa. Representa la intersección de la innovación tecnológica de vanguardia con un mercado clandestino de herramientas de vigilancia, donde la búsqueda de la seguridad nacional choca a menudo con la inviolabilidad de la privacidad individual. Ser conscientes de esta realidad es el primer paso para exigir una mayor transparencia, rendición de cuentas y una regulación efectiva que garantice que estas poderosas tecnologías no se conviertan en instrumentos de opresión.