El nuevo backdoor para macOS de Corea del Norte incluye mensajes de error falsos para engañar a herramientas de seguridad basadas en AI

Investigadores de seguridad en SentinelOne han descubierto un nuevo backdoor para macOS, bautizado como Gaslight, que utiliza una técnica nunca antes vista en la naturaleza: incrustar payloads de prompt injection directamente en el binario del malware para confundir a herramientas de análisis de seguridad impulsadas por IA, según reportó BleepingComputer. El implante se ha atribuido con alta confianza a actores de amenazas de Corea del Norte, vinculados a través de la etiqueta de XProtect de Apple bajo MACOS_BONZAI_COBUCH, una familia asociada con operaciones alineadas con la RPDC.

El payload de prompt injection son 3.5 KB de mensajes falsos de "sistema" incrustados en el binario: 38 avisos que simulan advertencias de expiración de tokens, señales de muerte de memoria, fallos de Redis, alertas de espacio en disco y errores de compilación. Están formateados en Markdown, delimitados con tokens {{DATA}} que imitan el scaffolding de prompts de LLM. El objetivo es hacer que un agente de triage asistido por IA crea que su sesión está corrupta y aborte el análisis antes de llegar al código malicioso.

Por qué esta técnica importa

Los centros de operaciones de seguridad están usando cada vez más agentes de IA para triage de alertas, resumir binarios y marcar comportamiento sospechoso — herramientas que hacen más rápidos a los analistas pero introducen una nueva superficie de ataque. Gaslight es el primer caso documentado públicamente de un actor de amenazas que construye específicamente evasión para esa capa. Alguien del lado de Lazarus en la operación de la RPDC dedicó esfuerzo deliberado a crear 38 mensajes de error falsos no para engañar a un sandbox, sino para engañar a la IA que lee la salida del sandbox.

Las implicaciones van más allá de esta muestra específica. Si un prompt injection puede hacer que un agente de triage de IA aborte el análisis de un binario malicioso, los defensores necesitan endurecer sus pipelines de IA de la misma forma que endurecen sus sandboxes — con pruebas adversariales, validación de salida y controles de humano en el circuito para veredictos de alta confianza.

Conjunto completo de capacidades

Más allá de la capa de evasión de IA, Gaslight es un backdoor con todas las funciones construido en Rust. Se comunica mediante la API de Bot de Telegram usando un bucle de polling para comandos del operador, con cifrado AES-GCM y nonces frescos por mensaje. Fija certificados TLS a anclas de confianza personalizadas, derrotando la inspección de proxy estándar, y respeta las configuraciones de proxy corporativo para la navegación en red.

El implante despliega un intérprete de Python 3.10.18 por etapas que ejecuta un script de recolección de información de 6.6 KB codificado en Base64, dirigido a: datos de navegadores Chrome, Brave, Firefox y Safari; historiales de comandos de Terminal; instantáneas de procesos en ejecución; inventarios de aplicaciones; perfiles de hardware y software del sistema; y copias sin procesar de la base de datos login.keychain-db de macOS. El operador interactúa a través de un shell interactivo con comandos para subir archivos, terminar procesos y limpiar el implante.

Persistencia y seguridad operacional

Gaslight establece persistencia mediante un LaunchAgent con la etiqueta com.apple.system.services.activity — suplantando deliberadamente el namespace de Apple, una táctica documentada de campañas anteriores de macOS de Corea del Norte. La auto-redacción de su token de bot de Telegram en la salida en tiempo de ejecución significa que capturar logs de procesos o artefactos de crash no produce datos útiles de infraestructura C2 para los defensores.

SentinelOne no ha revelado cómo se distribuye Gaslight ni qué industrias están siendo atacadas, pero la combinación de acceso a Keychain, robo de credenciales de navegadores y acceso shell lo posiciona como una herramienta de ciberespionaje más que como un precursor de ransomware.