Секретная операция Kimsuky: охота на разведданные под прикрытием ядерного оружия

Согласно отчету Rapid7, в ходе новой кампании северокорейская группировка Kimsuky использует файлы-приманки на тему ядерной угрозы для распространения вредоносного ПО.

Кампания нацелена на сбор разведывательной информации о внешней политике, национальной безопасности, ядерном потенциале и санкциях в отношении Корейского полуострова. Целью атак являются правительственные учреждения и аналитические центры Южной Кореи, а также расширение операций на другие регионы, в том числе в США и Европе.

Специалисты сообщают, что Kimsuky обновили свой инструментарий, начав использовать в качестве приманки HTML-файлы на тему ядерного оружия. Примеры названий включают: «Модель эскалации ядерного кризиса в Северной Корее и факторы, определяющие использование ядерного оружия.html» и «Факторы и виды применения Северной Кореей ядерного оружия.html».

Такие приманки, частью которых являются файлы в формате Compiled HTML Help (CHM), доставляются жертвам в архивах ISO, ZIP, RAR или VHD для обхода первой линии защиты.

Формат CHM, разработанный Microsoft, содержит коллекцию HTML-страниц вместе с оглавлением, индексом и возможностью текстового поиска, что делает его удобным для документации. Однако хакеры обнаружили, что CHM может быть использован для доставки и выполнения вредоносных полезных нагрузок.

Когда жертва открывает файл, на компьютере выполняется VBScript, который устанавливает множество файлов .bat и VBS для выполнения команд и добавляет записи в реестр для обеспечения постоянства. Собранная информация, включая имена компьютеров, детали ОС, аппаратные характеристики, список запущенных процессов, папка «Загрузки», недавние файлы Word и списки каталогов, отправляется на сервер злоумышленника.

Цепочка заражения Kimsuky

Исследователи отмечают активное использование и совершенствование техник Kimsuky для сбора разведданных, подчеркивая динамичность кибершпионажа и постоянную гонку вооружений между хакерами и защитниками. Обновленный арсенал Kimsuky подчеркивает необходимость постоянного усиления киберзащиты для противостояния таким угрозам.

Новости о новой волне атак Kimsuky совпали с отчетом компании Symantec . По их данным, группа также распространяет свое ПО под видом приложения от легитимного южнокорейского госоргана. «После успешного заражения вредонос устанавливает бэкдор Endoor, обеспечивающий сбор конфиденциальных данных или загрузку дополнительного вредоносного кода», — комментируют специалисты.

Недавно была зафиксирована активность программ Endoor на Go и Troll Stealer, распространявшихся под прикрытием безопасных приложений с сайта корейской строительной ассоциации.

ООН 7 марта представила отчет о результатах расследования , выявившего 58 кибератак со стороны Северной Кореи в период с 2017 по 2023 год. Эти кампании принесли режиму около $3 млрд незаконных доходов для развития ядерной программы.

«Участились кибератаки со стороны хакерских группировок, подчиняющихся Разведывательному управлению КНДР. В тренде — атаки на оборонные предприятия, цепочки поставок, а также использование группами общей инфраструктуры и инструментов», — говорится в докладе .

Разведывательное управление КНДР является главной разведслужбой страны, курирующей деятельность таких хакерских группировок, как Lazarus, Andariel, BlueNoroff и Kimsuky. Согласно данным экспертов, Kimsuky проявляет интерес к генеративным ИИ-моделям вроде ChatGPT. Предполагается, что злоумышленники могут использовать их для написания фишинговых писем и создания вредоносного кода.