Operazioni di un grande gruppo di hacker nordcoreano esposte in una sospetta violazione dei dati

Un grande gruppo di hacker nordcoreano è stato esposto in una presunta violazione dei dati che coinvolge due sistemi compromessi, in cui un membro di Kimsuky APT ha subito una sospetta massiccia fuoriuscita.

Un membro del sospetto gruppo di hacker nordcoreano del gruppo hacker Kimsuky Advanced Persistent Threat (APT) avrebbe subito una grave violazione dei dati, risultando nella fuoriuscita di centinaia di gigabyte di file e strumenti interni.

Gruppo di hacker nordcoreano esposto in una sospetta violazione dei dati

Secondo i ricercatori della sicurezza Slow Mist, i dati degli hacker Kimsuky trapelati includono cronologie dei browser, registri delle campagne di phishing, manuali per backdoor personalizzate e sistemi offensivi come la backdoor del kernel TomCat, beacon Cobalt Strike modificati, Ivanti RootRot e varianti di malware basate su Android come Toybox.

I rapporti sospettano che la violazione dei dati si sia verificata all'inizio di giugno 2025 e la hanno fatta risalire a due sistemi compromessi collegati a un operatore Kimsuky che lavorava sotto l'alias "KIM". Uno era una workstation di sviluppo Linux che eseguiva Deepin 20.9, mentre l'altro era un VPS esposto al pubblico. Il sistema Linux probabilmente fungeva da ambiente di sviluppo malware, mentre l'altro ospitava materiale di spear-phishing, inclusi portali di accesso falsi e link di comando e controllo.

Gli hacker dietro la violazione, definendosi "Saber" e "cyb0rg", affermano di aver accesso ed estratto i contenuti di entrambi i sistemi prima di pubblicarli online. Sebbene alcuni indicatori colleghino "KIM" all'infrastruttura nota di Kimsuky, altre indicazioni linguistiche e tecniche suggeriscono un possibile legame cinese, quindi per ora le origini di KIM rimangono irrisolte.

Kimsuky opera almeno dal 2012

Kimsuky ha connessioni con il Bureau Generale di Riconoscimento della Corea del Nord da quando è apparso per la prima volta nel 2012. Il gruppo si è a lungo specializzato in cyber-espionaggio che mira a governi, think tank, appaltatori della difesa e accademia.

All'inizio del 2025, le campagne di Kimsuky come DEEP#DRIVE hanno utilizzato catene di intrusione multi-fase che iniziavano con file ZIP compressi contenenti file di scorciatoia Windows (LNK) mascherati da documenti. Quando le vittime aprono quei file, i file LNK avviano comandi PowerShell che recuperano payload malevoli da servizi come Dropbox, utilizzando documenti di copertura per apparire legittimi ed evitare il rilevamento.

Le campagne di Kimsuky di marzo e aprile 2025 hanno introdotto codice VBScript e PowerShell mescolato incorporato in archivi ZIP malevoli. Questi script assemblavano comandi in modo furtivo, distribuendo malware per raccogliere i tasti premuti, catturare i dati degli appunti e rubare le chiavi dei portafogli di criptovaluta dai browser, tra cui Chrome, Edge, Firefox e Naver Whale.

Alcune operazioni si sono spostate verso l'utilizzo di file LNK malevoli accoppiati con VBScript che invocava mshta.exe per eseguire malware basato su DLL riflesse direttamente in memoria.

Intorno allo stesso periodo, Kimsuky ha iniziato a distribuire moduli RDP Wrapper personalizzati e malware proxy per abilitare l'accesso remoto furtivo. Gli info-stealer come forceCopy sono stati utilizzati per raccogliere le credenziali dai file di configurazione del browser senza attivare gli avvisi standard di accesso alle password.

Il gruppo ha anche abusato di popolari servizi cloud e di hosting di codice. In una campagna di spear-phishing a giugno 2025 che prendeva di mira la Corea del Sud, i repository privati di GitHub sono stati utilizzati per memorizzare malware e dati estratti. Queste campagne hanno consegnato payload come XenoRAT utilizzando Dropbox come terreno di staging per i file rubati. Questo uso duplice di piattaforme fidate sia per la consegna che per l'estrazione ha permesso a Kimsuky di nascondere la sua attività malevola nel traffico della rete legittima.