Las Amenazas Persistentes Avanzadas (APTs) continúan evolucionando, adoptando técnicas cada vez más sofisticadas para mantener operaciones maliciosas. Un ejemplo reciente es el APT UNC5342, vinculado a la República Popular Democrática de Corea, que ha desarrollado una técnica denominada EtherHiding, la cual utiliza la infraestructura de blockchain como plataforma de ataque y de comando y control (C2). Esta estrategia redefine la ciberamenaza, convirtiendo redes públicas de blockchain en herramientas para ocultar malware y asegurar su persistencia frente a los métodos de mitigación tradicionales.
EtherHiding funciona insertando cargas maliciosas directamente dentro del código de smart contracts. Una vez desplegado, el contrato actúa como un nodo de C2 permanente e inmutable, capaz de comunicarse con el malware instalado en los sistemas objetivos. La interacción se realiza mediante llamadas de lectura (eth_call) que permiten al malware recibir instrucciones sin generar transacciones visibles ni registros rastreables en la cadena. De esta manera, los atacantes logran una comunicación no trazable, evitando la detección por sistemas de monitoreo tradicionales. Además, la infraestructura distribuida de la blockchain hace que el C2 sea extremadamente resistente, no existe un servidor central que pueda ser bloqueado o eliminado.
El ataque se inicia generalmente a través de ingeniería social, en campañas sofisticadas como “Contagious Interview”, donde desarrolladores de software reciben ofertas de empleo falsas y ejecutan proyectos contaminados sin sospecharlo. Esto demuestra que EtherHiding combina tecnología avanzada con ingeniería social, amplificando su efectividad y haciendo que la cultura de ciberseguridad interna sea tan crítica como la protección tecnológica.
Las implicaciones de EtherHiding son profundas: al aprovechar la inmutabilidad, la descentralización y la comunicación no rastreable de blockchain, los atacantes crean una arquitectura de C2 de alta persistencia, prácticamente imposible de neutralizar con herramientas tradicionales. Esto no solo permite la ejecución de malware de manera continua, sino que abre la puerta a robo de datos, manipulación de infraestructuras críticas y espionaje corporativo o industrial, afectando la confianza en los sistemas de blockchain utilizados en entornos financieros y ciudades inteligentes.
Para enfrentar estas amenazas, la ciberseguridad organizacional debe sustentarse en cuatro pilares estratégicos:
- Tecnológico: Implementar defensa en profundidad, control estricto de endpoints, monitoreo del tráfico hacia blockchain y supervisión de la cadena de suministro de software para detectar anomalías.
- Operativo (DevSecOps): Integrar seguridad desde el diseño en entornos On-Premise, Cloud e híbridos, automatizando parches y asegurando la veracidad de recursos.
- Gobernanza y riesgo estratégico: Incluir amenazas basadas en blockchain en comités de auditoría y gestión de riesgo corporativo, alineando políticas con estándares internacionales como NIST, ISO 27001 y DORA.
- Cultura y resiliencia: Capacitar equipos, establecer protocolos claros de respuesta ante incidentes y fomentar una cultura de ciberseguridad que combine vigilancia tecnológica y concienciación del factor humano.
La gobernanza del riesgo tecnológico requiere un enfoque integral basado en Zero Trust, supervisión continua, comités especializados con controles de acceso adaptativos y protocolos de respuesta segmentados para mitigar amenazas avanzadas como EtherHiding. La ciberseguridad debe consolidarse como capacidad estratégica transversal, vinculando tecnología, procesos y cultura organizacional, para garantizar continuidad operativa, resiliencia corporativa y ventaja competitiva.
Hugo Vilches
Chief Commander for Cyber Operations, Lead Officer for Advanced Cyber Exploitation & Adversary Emulation, Senior Strategic Intelligence Advisor, Professor of Cyber Warfare & Strategic Defense Studies
Instagram, X, LinkedIn: @blackeagleintel
