Operações de grande grupo de hackers norte-coreano expostas em suposta violação de dados
- Um hacker norte-coreano suspeito do grupo APT Kimsuky sofreu um grande vazamento de dados em junho de 2025.
- O vazamento ocorreu a partir de uma estação de trabalho de desenvolvimento Linux comprometida, executando Deepin 20.9, e de um VPS público comprometido usado para spear-phishing.
- Os materiais expostos revelam as backdoors, estruturas de phishing e ferramentas de reconhecimento do grupo.
Um grande grupo de hackers norte-coreano foi exposto em uma suposta violação de dados envolvendo dois sistemas comprometidos, onde um membro do APT Kimsuky sofreu uma suposta fuga maciça.
Um membro do suspeito grupo de hackers norte-coreano hacker Kimsuky Advanced Persistent Threat (APT) sofreu supostamente uma grande violação de dados, resultando no vazamento de centenas de gigabytes de arquivos e ferramentas internas.
Grupo de hackers norte-coreano exposto em suposta violação de dados
De acordo com pesquisadores de segurança da Slow Mist, os dados vazados do hacker Kimsuky incluem históricos de navegação, logs de campanhas de phishing, manuais para backdoors personalizados e sistemas ofensivos como o backdoor do kernel TomCat, beacons do Cobalt Strike modificados, Ivanti RootRot e variantes de malware baseadas em Android como Toybox.
Os relatórios suspeitam que a violação de dados ocorreu no início de junho de 2025 e a rastrearam até dois sistemas comprometidos vinculados a um operador do Kimsuky que trabalhava sob o alias "KIM". Um era uma estação de trabalho de desenvolvimento Linux executando Deepin 20.9, enquanto o outro era um VPS de acesso público. O sistema Linux provavelmente serviu como um ambiente de desenvolvimento de malware, enquanto o outro hospeda material de spear-phishing, incluindo portais de login falsos e links de comando e controle.
Os hackers por trás a violação, chamando-se "Saber" e "cyb0rg", afirmam que acessaram e exfiltraram o conteúdo de ambos os sistemas antes de publicá-los online. Embora alguns indicadores liguem "KIM" à infraestrutura conhecida do Kimsuky, outras pistas linguísticas e técnicas sugerem uma possível ligação chinesa, portanto, por enquanto, as origens do KIM permanecem não resolvidas.
O Kimsuky opera desde pelo menos 2012
O Kimsuky tem conexões com o Bureau Geral de Reconhecimento da Coreia do Norte desde que apareceu pela primeira vez em 2012. O grupo há muito se especializa em ciberespionagem direcionada a governos, think tanks, contratantes de defesa e academia.
No início de 2025, campanhas do Kimsuky como DEEP#DRIVE usaram cadeias de intrusão em múltiplas etapas começando com arquivos ZIP compactados contendo arquivos de atalho do Windows (LNK) disfarçados de documentos. Quando as vítimas abrem esses arquivos, os arquivos LNK lançam comandos do PowerShell que recuperam payloads maliciosos de serviços como o Dropbox, usando documentos falsos para parecerem legítimos e evitar a detecção.
Campanhas do Kimsuky de março e abril de 2025 introduziram código VBScript e PowerShell embaralhado embutido em arquivos ZIP maliciosos. Esses scripts montavam comandos discretamente, implantando malware para coletar pressionamentos de teclas, capturar dados da área de transferência e roubar chaves de carteiras de criptomoeda dos navegadores, incluindo Chrome, Edge, Firefox e Naver Whale.
Algumas operações mudaram para o uso de arquivos LNK maliciosos emparelhados com VBScript que invocavam mshta.exe para executar malware baseado em DLL reflexiva diretamente na memória.
Por volta do mesmo período, o Kimsuky começou a implantar módulos personalizados do RDP Wrapper e malware proxy para permitir acesso remoto furtivo. Info-stealers como o forceCopy foram usados para coletar credenciais de arquivos de configuração do navegador sem acionar alertas padrão de acesso por senha.
O grupo também abusou de serviços populares de nuvem e hospedagem de código. Em uma campanha de spear-phishing em junho de 2025 direcionada a Coreia do Sul, repositórios privados do GitHub foram usados para armazenar malware e dados exfiltrados. Essas campanhas entregaram payloads como XenoRAT enquanto usavam o Dropbox como um terreno de preparação para arquivos roubados. Esse uso duplo de plataformas confiáveis para entrega e exfiltração permitiu que o Kimsuky escondesse sua atividade maliciosa dentro do tráfego da rede legítima.
Não apenas leia notícias sobre criptomoedas. Entenda-as. Inscreva-se em nossa newsletter. É grátis.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Hannah Collymore
Hannah é escritora e editora com quase uma década de experiência em redação de blogs e cobertura de eventos no espaço cripto. Na Cryptopolitan, Hannah contribui para a página de notícias, relatando e analisando os últimos desenvolvimentos nos setores DeFi, RWA, regulação cripto, IA e tecnologias de fronteira. Ela se formou na Universidade Arcadia com graduação em Administração de Empresas.
