L'FBI afferma che l'APT nordcoreano Kimsuky utilizza codici QR dannosi per il spearphishing contro entità statunitensi

L'FBI afferma che Kimsuky APT, un gruppo di hacker sostenuto dallo stato nordcoreano, sta utilizzando codici QR dannosi per penetrare nelle organizzazioni statunitensi collegate alla politica sulla Corea del Nord.

L'avvertimento è arrivato in un FLASH dell'FBI del 2025 condiviso con ONG, think tank, università e gruppi connessi al governo. L'agenzia afferma che tutti i bersagli condividono una cosa: studiano, consigliano o lavorano sulla Corea del Nord.

Secondo l'FBI, Kimsuky APT sta conducendo campagne di spearphishing che si basano su codici QR invece che su link, un metodo noto come Quishing.

I codici QR nascondono URL dannosi e le vittime quasi sempre li scansionano con i telefoni, non con i computer di lavoro. Questo cambiamento permette agli aggressori di eludere i filtri email, gli scanner di link e gli strumenti sandbox che di solito catturano il phishing.

Kimsuky APT invia email basate su QR a bersagli di policy e ricerca

L'FBI afferma che Kimsuky APT ha utilizzato diverse email a tema nel 2025. Ognuna corrispondeva al lavoro e agli interessi del bersaglio. A maggio, gli aggressori si sono spacciati per un consulente straniero. Hanno inviato un'email a un leader di un think tank chiedendo opinioni sugli eventi recenti nella penisola coreana. L'email includeva un codice QR che affermava di aprire un questionario.

Più tardi a maggio, il gruppo si è spacciato per un dipendente di un'ambasciata. Quella email è stata inviata a un senior fellow di un think tank. Chiedeva input sui diritti umani nordcoreani. Il codice QR affermava di sbloccare un drive sicuro. Nello stesso mese, un'altra email fingeva di provenire da un dipendente di un think tank. La scansione del suo codice QR ha inviato la vittima a infrastrutture di Kimsuky APT costruite per attività malevole.

A giugno 2025, l'FBI afferma che il gruppo ha preso di mira una società di consulenza strategica. L'email invitava il personale a una conferenza che non esisteva. Un codice QR ha inviato gli utenti a una pagina di registrazione. Un pulsante di registrazione ha poi indirizzato i visitatori a una falsa pagina di accesso Google. Quella pagina raccoglieva nomi utente e password. L'FBI ha collegato questo passaggio all'attività di raccolta di credenziali tracciata come T1056.003.

Le scansioni QR portano al furto di token e al takeover dell'account

“Le operazioni di Quishing finiscono spesso con il furto e la riproduzione dei token di sessione [T1550.004], consentendo agli aggressori di bypassare l'autenticazione multifattore [T1550.004] e di dirottare le identità cloud senza attivare gli avvisi tipici di 'MFA fallita'”, ha dichiarato l'FBI.

L'FBI afferma che molti di questi attacchi terminano con il furto e la riproduzione dei token di sessione. Questo permette agli aggressori di bypassare l'autenticazione multifattore senza attivare avvisi. Gli account vengono presi di controllo silenziosamente. Dopo di ciò, gli aggressori modificano le impostazioni, aggiungono accessi e mantengono il controllo. L'FBI afferma che le caselle di posta compromesse vengono poi utilizzate per inviare ulteriori email di spearphishing all'interno della stessa organizzazione.

L'FBI nota che questi attacchi iniziano sui telefoni personali. Questo li pone al di fuori degli strumenti normali di rilevamento degli endpoint e del monitoraggio di rete. Per questo motivo, l'FBI ha dichiarato:-

“Il Quishing è ora considerato un vettore di intrusione di identità ad alta confidenza e resiliente all'MFA negli ambienti aziendali.”

L'FBI esorta le organizzazioni a ridurre il rischio. L'agenzia afferma che il personale dovrebbe essere avvertito di scansionare codici QR casuali da email, lettere o volantini. La formazione dovrebbe coprire l'urgenza falsa e l'impersonificazione. I lavoratori dovrebbero verificare le richieste di codici QR attraverso un contatto diretto prima di accedere o scaricare file. Dovrebbero essere presenti regole di segnalazione chiare.

L'FBI raccomanda anche l'uso di:- “MFA resistente al phishing per tutti gli accessi remoti e i sistemi sensibili,” e “la revisione dei privilegi di accesso secondo il principio del minimo privilegio e l'audit regolare per autorizzazioni di account non utilizzate o eccessive.”