ФБР: северокорейская группировка Kimsuky APT использует вредоносные QR-коды для фишинга американских организаций

ФБР сообщает, что Kimsuky APT, северокорейская хакерская группировка, поддерживаемая государством, использует вредоносные QR-коды для проникновения в американские организации, связанные с политикой в отношении Северной Кореи.

Предупреждение было сделано в FLASH-уведомлении ФБР 2025 года, распространенном среди НПО, аналитических центров, университетов и групп, связанных с правительством. Агентство говорит, что все цели имеют одну общую черту. Они изучают, консультируют или работают в сфере, связанной с Северной Кореей.

По данным ФБР, Kimsuky APT проводит кампании фишинга, которые полагаются на QR-коды вместо ссылок, метод, известный как Quishing.

QR-коды скрывают вредоносные URL-адреса, и жертвы почти всегда сканируют их с телефонов, а не с рабочих компьютеров. Этот сдвиг позволяет злоумышленникам проскользнуть мимо почтовых фильтров, сканеров ссылок и песочниц, которые обычно перехватывают фишинг.

Kimsuky APT отправляет QR-письма целям в сфере политики и исследований

ФБР сообщает, что Kimsuky APT использовала несколько тематических писем в 2025 году. Каждое из них соответствовало работе и интересам цели. В мае злоумышленники выдавали себя за иностранного советника. Они отправили письмо руководителю аналитического центра с просьбой высказать мнение о последних событиях на Корейском полуострове. В письме был QR-код, который, как утверждалось, открывал анкету.

Позже в мае группа выдала себя за сотрудника посольства. Это письмо было отправлено старшему научному сотруднику аналитического центра. В нем запрашивалось мнение о правах человека в Северной Корее. QR-код, как утверждалось, открывал защищенный диск. В том же месяце другое письмо притворялось, что исходит от сотрудника аналитического центра. Сканирование его QR-кода направляло жертву на инфраструктуру Kimsuky APT, созданную для вредоносной деятельности.

В июне 2025 года, по данным ФБР, группа нацелилась на консалтинговую фирму стратегического уровня. Письмо приглашало сотрудников на конференцию, которой не существовало. QR-код направлял пользователей на страницу регистрации. Кнопка регистрации затем перенаправляла посетителей на поддельную страницу входа Google. Эта страница собирала имена пользователей и пароли. ФБР связало этот шаг с деятельностью по краже учетных данных, отслеживаемой как T1056.003.

Сканирование QR-кодов приводит к краже токенов и захвату учетных записей

«Операции по Quishing часто заканчиваются кражей и повторным использованием session token [T1550.004], что позволяет злоумышленникам обходить многофакторную аутентификацию [T1550.004] и перехватывать облачные учетные записи без вызова типичных предупреждений “MFA failed”», — сказали в ФБР.

ФБР сообщает, что многие из этих атак заканчиваются кражей и повторным использованием session token. Это позволяет злоумышленникам обходить многофакторную аутентификацию без вызова предупреждений. Учетные записи захватываются тихо. После этого злоумышленники меняют настройки, добавляют доступ и сохраняют контроль. ФБР говорит, что скомпрометированные почтовые ящики затем используются для отправки большего количества фишинговых писем внутри той же организации.

ФБР отмечает, что эти атаки начинаются на личных телефонах. Это выводит их за пределы обычных инструментов обнаружения конечных точек и сетевого мониторинга. Из-за этого ФБР заявило:-

«Quishing теперь считается высоконадежным вектором вторжения в идентичность, устойчивым к MFA, в корпоративных средах».

ФБР призывает организации снизить риски. Агентство говорит, что сотрудников следует предупреждать о сканировании случайных QR-кодов из писем, писем или листовок. Обучение должно охватывать фальшивую срочность и маскировку. Работники должны проверять запросы QR-кодов через прямой контакт перед входом в систему или загрузкой файлов. Должны быть четкие правила отчетности.

ФБР также рекомендует использовать: «устойчивую к фишингу MFA для всего удаленного доступа и чувствительных систем», а также «пересматривать права доступа в соответствии с принципом наименьших привилегий и регулярно проводить аудит на наличие неиспользуемых или избыточных разрешений учетных записей».