ESET identificó una nueva campaña de ciberespionaje vinculada al grupo norcoreano ScarCruft, que comprometió una plataforma de videojuegos para Windows y Android con el objetivo de distribuir malware capaz de robar información sensible y controlar dispositivos de forma remota.
La investigación, desarrollada por el equipo de análisis de amenazas de ESET, reveló que los atacantes utilizaron una plataforma de juegos tradicionales de la región de Yanbian, en China, para propagar puertas traseras o backdoors con amplias capacidades de espionaje digital.
El ataque estuvo dirigido principalmente a la región de Yanbian, una zona con una importante comunidad de etnia coreana y considerada punto estratégico de tránsito para refugiados y desertores norcoreanos, lo que refuerza las sospechas sobre motivaciones de inteligencia y vigilancia vinculadas a Corea del Norte.
El juego comprometido, identificado como “延边红十” (Yanbian Red Ten o Diez Rojo de Yanbian), era distribuido desde su sitio oficial y ofrecía juegos de cartas y mesa para usuarios de Windows, Android e iOS.
Según ESET, las versiones para Windows y Android fueron alteradas para incorporar software malicioso diseñado para recolectar información personal y ejecutar tareas de espionaje.
En el caso de Windows, los investigadores detectaron una actualización maliciosa que instalaba dos backdoors capaces de otorgar acceso remoto a los atacantes. Mientras tanto, las aplicaciones Android contenían una versión del malware conocido como BirdCall, desarrollado específicamente para vigilancia y robo de datos.
De acuerdo con el análisis técnico, BirdCall posee capacidades avanzadas como captura de pantallas, registro de pulsaciones de teclado, robo de credenciales, extracción de archivos y ejecución remota de comandos en el sistema comprometido.
La versión para Android amplía aún más las funciones de espionaje, permitiendo acceder a contactos, mensajes SMS, registros de llamadas, documentos, archivos multimedia y claves privadas, además de realizar grabaciones de audio ambiental y capturas de pantalla sin conocimiento del usuario.
ESET explicó que el malware utilizaba servicios legítimos de almacenamiento en la nube como Dropbox y pCloud para comunicarse con los servidores de comando y control, una técnica utilizada para ocultar la actividad maliciosa y dificultar su detección.
“Encontramos evidencia de que las víctimas descargaron los juegos troyanizados a través de un navegador web en sus dispositivos y probablemente los instalaron de forma intencional”, explicó Filip Jurčacko.
El investigador señaló además que los archivos maliciosos no fueron identificados en la tienda oficial Google Play y que, hasta el momento, no se detectaron otros canales de distribución fuera del sitio comprometido.
La investigación determinó que BirdCall para Android fue desarrollado activamente durante varios meses. ESET identificó siete versiones distintas del malware, desde la versión 1.0, registrada en octubre de 2024, hasta la versión 2.0, detectada en junio de 2025.
ScarCruft, también conocido como APT37 o Reaper, es un grupo de ciberespionaje activo desde al menos 2012 y señalado por múltiples investigaciones internacionales como una estructura alineada con intereses estatales de Corea del Norte.
Históricamente, el grupo ha dirigido operaciones contra instituciones gubernamentales, entidades militares, empresas estratégicas y desertores norcoreanos, principalmente en Corea del Sur y otros países asiáticos.
El caso evidencia una tendencia creciente en el uso de plataformas legítimas y aplicaciones de entretenimiento como vehículos para operaciones de espionaje, en un contexto donde los ataques dirigidos buscan cada vez más aprovechar la confianza de los usuarios para infiltrarse en dispositivos personales y corporativos.
