疑わしいデータ侵害で露見した大規模な北朝鮮のハッカーグループの活動

大規模な北朝鮮のハッカーグループが、キムスクィーAPTメンバーが疑わしい大規模な漏洩を受けた2つの侵害されたシステムを含む alleged データ侵害で露見しました。

疑わしい北朝鮮のハッカーグループキムスクィー先進的持続的脅威（APT）のメンバーは、重大なデータ侵害を受け、数百ギガバイトの内部ファイルおよびツールが漏洩したと報告されています。

疑わしいデータ侵害で露見した北朝鮮のハッカーグループ

Slow Mistセキュリティ研究者によると、漏洩したキムスクィーハッカーデータには、ブラウザ履歴、フィッシングキャンペーンログ、カスタムバックドアのマニュアル、TomCatカーネルバックドア、修正されたCobalt Strikeビーコン、Ivanti RootRot、ToyboxなどのAndroidベースのマルウェア変種などの攻撃システムが含まれています。

報告では、データ侵害が2025年6月初頭に発生し、「KIM」の偽名で活動するキムスクィーオペレーターとリンクされた2つの侵害されたシステムに遡ると疑われています。1つはDeepin 20.9を実行するLinux開発ワークステーションで、もう1つは公開 facing VPSでした。Linuxシステムはマルウェア開発環境として機能し、もう1つは偽のログインポータルおよびコマンド・アンド・コントロールリンクを含むスピアフィッシング素材をホストしていました。

侵害の背後にあるハッカーは、「Saber」および「cyb0rg」と自称し、両システムのコンテンツにアクセスして外部に持ち出し、オンラインで公開したと主張しています。「KIM」がキムスクィーの既知のインフラに関連付けられているいくつかの指標がありますが、他の言語的および技術的な手がかりは中国の関連性を示唆しているため、現時点ではKIMの起源は未解決のままです。

キムスクィーは少なくとも2012以来活動しています

キムスクィーは2012年に最初に出現して以来、北朝鮮の偵察総局とつながりがあります。このグループは長年、政府、シンクタンク、防衛請負業者、および学界を対象としたサイバーエスパーナージュに特化してきました。

2025年初頭、キムスクィーのキャンペーンであるDEEP#DRIVEは、文書として偽装されたWindowsショートカット（LNK）ファイルを含む圧縮ZIPファイルで始まる多段階侵入チェーンを使用しました。被害者がこれらのファイルを開くと、LNKファイルはDropboxなどのサービスからマルウェアペイロードを取得するPowerShellコマンドを実行し、正当な外観を保ち、検出を回避するために偽の文書を使用します。

2025年3月および4月のキムスクィーキャンペーンは、悪意のあるZIPアーカイブに埋め込まれたジャングルVBScriptおよびPowerShellコードを導入しました。これらのスクリプトはコマンドを密かに組み立て、キーロガー、クリップボードデータのキャプチャ、Chrome、Edge、Firefox、Naver Whaleを含むブラウザから暗号通貨ウォレットキーの盗難を含むマルウェアを展開しました。

一部の操作は、悪意のあるLNKファイルとVBScriptのペアを使用し、mshta.exeを呼び出してリフレクティブDLLベースのマルウェアを直接メモリ内で実行することにシフトしました。

同じ時期頃、キムスクィーはステルスリモートアクセスを可能にするためにカスタムRDPラッパーモジュールおよびプロキシマルウェアの展開を開始しました。forceCopyなどの情報窃取ツールは、標準のパスワードアクセスアラートをトリガーせずに、ブラウザ設定ファイルから資格情報を収集するために使用されました。

グループはまた、人気のあるクラウドおよびコードホスティングサービスを悪用しました。2025年6月の韓国を対象とした1つのスピアフィッシングキャンペーンでは、プライベートGitHubリポジトリがマルウェアおよび外部に持ち出されたデータの保存に使用されました。これらのキャンペーンはXenoRATなどのペイロードを配信し、Dropboxを盗まれたファイルの staging ground として使用しました。信頼できるプラットフォームの両方の配信および外部持ち出しへの二重使用により、キムスクィーは悪意のある活動を正規のネットワークのトラフィック内に隠すことができました。