Les Hackers Nord-Coréens Kimusky

Le groupe d’États-nations nord-coréen Kimusky a été lié à un nouvel ensemble d’activités malveillantes dirigées contre des entités politiques et diplomatiques situées dans son homologue du sud au début de 2022.

La société russe de cybersécurité Kaspersky a nommé le cluster Dragon d’oravec les chaînes d’infection conduisant au déploiement de logiciels malveillants Windows conçus pour les listes de fichiers, les frappes de l’utilisateur et les identifiants de connexion du navigateur Web stockés.

Parmi les victimes potentielles figurent des professeurs d’université sud-coréens, des chercheurs de groupes de réflexion et des responsables gouvernementaux.

La Cyber-Sécurité

Kimsuky, également connu sous le nom de Black Banshee, Thallium et Velvet Chollima, est le nom donné à un groupe nord-coréen prolifique de menaces persistantes avancées (APT) qui cible des entités dans le monde entier, mais avec un accent principal sur la Corée du Sud, pour obtenir des renseignements sur divers sujets. intéressant le régime.

Connu pour fonctionner depuis 2012, le groupe a l’habitude d’employer des tactiques d’ingénierie sociale, de harponnage et d’attaques de points d’eau pour exfiltrer les informations souhaitées des victimes.

Publicité

À la fin du mois dernier, la société de cybersécurité Volexity a attribué l’acteur à une mission de collecte de renseignements conçue pour siphonner le contenu des e-mails de Gmail et AOL via une extension de navigateur Chrome malveillante appelée Sharpext.

La dernière campagne suit un modus operandi similaire dans lequel la séquence d’attaque est lancée via des messages de harponnage contenant des documents Microsoft Word intégrés à la macro qui présentent prétendument du contenu lié aux problèmes géopolitiques de la région.

Les Hackers Nord-Coréens Kimusky

On dit également que les routes d’accès initiales alternatives tirent parti des fichiers d’application HTML (HTA) et d’aide HTML compilée (CHM) comme leurres pour compromettre le système.

Quelle que soit la méthode utilisée, l’accès initial est suivi de la suppression d’un script Visual Basic à partir d’un serveur distant orchestré pour identifier la machine et récupérer des charges utiles supplémentaires, y compris un exécutable capable d’exfiltrer des informations sensibles.

La Cyber-Sécurité

La nouveauté de l’attaque est la transmission de l’adresse e-mail de la victime au serveur de commande et de contrôle (C2) si le destinataire clique sur un lien dans l’e-mail pour télécharger des documents supplémentaires. Si la demande ne contient pas d’adresse e-mail attendue, un document bénin est renvoyé.

Pour compliquer davantage la chaîne de mise à mort, le serveur C2 de première étape transmet l’adresse IP de la victime à un autre serveur VBS, qui la compare ensuite à une demande entrante générée après que la cible a ouvert le document leurre.

La « méthodologie de vérification des victimes » dans les deux serveurs C2 garantit que le VBScript n’est livré que lorsque les vérifications de l’adresse IP sont réussies, ce qui indique une approche hautement ciblée.

« Le groupe Kimsuky fait évoluer en permanence ses schémas d’infection par des logiciels malveillants et adopte de nouvelles techniques pour entraver l’analyse », a déclaré Seongsu Park, chercheur chez Kaspersky. « La principale difficulté dans le suivi de ce groupe est qu’il est difficile d’acquérir une chaîne d’infection complète. »


Rate this post
Publicité
Article précédentDes documents divulgués suggèrent que Nvidia RTX 4090 est en production, sera la première carte Lovelace à arriver
Article suivantSmite tier list – les meilleurs dieux de la saison 9
Avatar De Violette Laurent
Violette Laurent est une blogueuse tech nantaise diplômée en communication de masse et douée pour l'écriture. Elle est la rédactrice en chef de fr.techtribune.net. Les sujets de prédilection de Violette sont la technologie et la cryptographie. Elle est également une grande fan d'Anime et de Manga.

LAISSER UN COMMENTAIRE

S'il vous plaît entrez votre commentaire!
S'il vous plaît entrez votre nom ici