BirdCall: ScarCruft amplía su espionaje por la cadena de suministro y apunta a activistas en Yanbian

Un grupo vinculado al Estado norcoreano conocido como ScarCruft ha realizado una operación de espionaje por cadena de suministro que altera componentes de una plataforma de videojuegos orientada a la comunidad coreana del noreste de China, según análisis técnicos compartidos por ESET y reportados por medios especializados. La intrusión no se limitó a PCs: al trocear y reempaquetar aplicaciones, los atacantes consiguieron introducir una puerta trasera llamada BirdCall en paquetes Android, ampliando el radio de impacto a dispositivos móviles.

La plataforma comprometida atiende a usuarios de la región de Yanbian, un área con alta concentración de ciudadanos étnicos coreanos y conocida por servir como un corredor crítico para personas que intentan cruzar hacia Corea del Norte o que han desertado. La elección del objetivo sugiere que ScarCruft persigue intereses de inteligencia humana y vigilancia dirigidos a activistas, académicos y posibles desertores, lo que eleva el riesgo más allá del robo técnico de datos a un daño directo sobre derechos humanos y seguridad personal.

Desde el punto de vista técnico, BirdCall es una evolución de familias previas (como RokRAT), con funciones clásicas de backdoor: captura de pantallas, registro de pulsaciones, robo del portapapeles, ejecución remota de comandos y exfiltración de archivos. La campaña ha empleado cadenas de carga multietapa con scripts iniciales en Ruby o Python y componentes cifrados por claves específicas de cada equipo, lo que complica su detección y análisis. Para las comunicaciones de comando y control, los atacantes siguen abusando de servicios legítimos de almacenamiento en la nube, lo que les da resiliencia y una capa de camuflaje.

La novedad preocupante es la adaptación a Android incluida en las APK distribuidas por el sitio afectado: la variante móvil recoge listas de contactos, SMS, registros de llamadas, medios, documentos, capturas y grabaciones de audio ambientales. En la práctica, esto transforma teléfonos personales en sensores remotos de información sensible, algo especialmente dañino en comunidades vulnerables que pueden depender del móvil para coordinar movimientos o comunicaciones seguras.

La técnica de suministro malicioso empleada —alteración de archivos descargables en la propia web del proveedor— subraya por qué las cadenas de suministro son vectores privilegiados para los atacantes: un paquete troceado firmado o alojado por un proveedor confiable puede eludir controles perimetrales y llegar masivamente a víctimas específicas. Además, el uso de servicios cloud legítimos para C2 dificulta la clasificación de tráfico malicioso frente al normal.

¿Qué pueden hacer los usuarios? Ante todo, evitar instalar APKs desde fuentes no verificadas y preferir tiendas oficiales (aunque tampoco son infalibles). Verifique la integridad y firma de las aplicaciones cuando sea posible, mantenga el sistema operativo y las apps actualizadas, y considere el uso de soluciones móviles de seguridad que detecten comportamientos anómalos. Si sospecha de una infección, aísle el dispositivo, cambie credenciales desde un dispositivo limpio y respalde información crítica antes de restaurar a una copia limpia.

¿Qué deben hacer operadores de plataformas y desarrolladores? Implementar controles de integridad en la cadena de distribución: firmas de código robustas, verificación de artefactos (SRI), registros inmutables de builds, revisión estricta de pipelines CI/CD, segmentación de accesos y detección de intrusiones en servidores de publicación. También es crucial monitorizar las páginas de descarga y los artefactos expuestos para detectar cambios no autorizados y ofrecer mecanismos de notificación rápida a usuarios.

Para equipos de defensa e incident response, conviene buscar indicadores de compromiso relacionados con el uso de servicios de nube como pCloud, Yandex Disk y herramientas de colaboración que los atacantes han usado para C2, y desplegar reglas de detección de comportamientos como extracción masiva de mensajes, accesos a micrófonos sin interacción o conexiones a dominios sospechosos. Inspecciones forenses de las actualizaciones entregadas pueden revelar DLLs troceadas o loaders que activan familias como RokRAT/BirdCall.

La lección estratégica es clara: las comunidades en riesgo y las organizaciones que las sirven deben tratar la seguridad de la cadena de suministro como prioritaria y coordinada con servicios de apoyo legal y de protección de derechos humanos. Las autoridades y ONG pueden ayudar creando canales seguros y supervisando activamente los puntos de tránsito digital que son críticos para poblaciones vulnerables.

Para quien quiera profundizar en prácticas defensivas y en por qué la seguridad en la cadena de suministro es crítica, recomiendo revisar orientación especializada como la de la Agencia de Seguridad para Infraestructura y Ciberseguridad de EE. UU. (CISA - Supply Chain Security) y seguir análisis técnicos y amenazas emergentes en publicaciones de referencia (WeLiveSecurity / ESET y The Hacker News).