Операции крупной северокорейской хакерской группы раскрыты в ходе подозреваемой утечки данных

Крупная северокорейская хакерская группа была раскрыта в ходе предполагаемой утечки данных,涉及 двух скомпрометированных систем, где член APT Kimsuky пострадал от предполагаемой массовой утечки.

Член подозреваемой северокорейской хакерской группы Kimsuky Advanced Persistent Threat (APT) якобы пострадал от крупной утечки данных, в результате которой были опубликованы сотни гигабайт внутренних файлов и инструментов.

Северокорейская хакерская группа раскрыта в ходе подозреваемой утечки данных

Согласно исследователям безопасности Slow Mist, утеченные данные хакеров Kimsuky включают историю браузеров, логи фишинговых кампаний, руководства по пользовательским бэкдорам и наступательные системы, такие как бэкдор ядра TomCat, модифицированные маяки Cobalt Strike, Ivanti RootRot и варианты вредоносного ПО на базе Android, такие как Toybox.

Сообщается, что утечка данных произошла в начале июня 2025 года, и она была прослежена до двух скомпрометированных систем, связанных с оператором Kimsuky, работающим под псевдонимом «KIM». Одна из них была рабочей станцией разработки Linux под управлением Deepin 20.9, а другая — публичным VPS. Система Linux, вероятно, служила средой разработки вредоносного ПО, в то время как другая хранила материалы для фишинга, включая фальшивые порталы входа и ссылки на центры управления и контроля.

Хакеры, стоящие за утечкой, называющие себя «Saber» и «cyb0rg», утверждают, что получили доступ и вывели содержимое обеих систем перед их публикацией в интернете. Хотя некоторые индикаторы связывают «KIM» с известной инфраструктурой Kimsuky, другие лингвистические и технические признаки указывают на возможную китайскую связь, поэтому на данный момент происхождение KIM остается неясным.

Kimsuky действует как минимум с 2012

Kimsuky связана с Генеральным бюро разведки Северной Кореи с момента своего первого появления в 2012 году. Группа давно специализируется на кибершпионаже, нацеленном на правительства, аналитические центры, оборонные подрядчики и академические круги.

В начале 2025 года кампании Kimsuky, такие как DEEP#DRIVE, использовали многоэтапные цепочки вторжений, начинающиеся со сжатых ZIP-архивов, содержащих ярлыки Windows (LNK), замаскированные под документы. Когда жертвы открывают эти файлы, LNK-файлы запускают команды PowerShell, которые загружают вредоносные payloads из таких сервисов, как Dropbox, используя ложные документы, чтобы выглядеть легитимно и избежать обнаружения.

Кампании Kimsuky в марте и апреле 2025 года представили перемешанный код VBScript и PowerShell, встроенный в вредоносные ZIP-архивы. Эти скрипты скрытно собирали команды, развертывая вредоносное ПО для перехвата нажатий клавиш, захвата данных буфера обмена и кражи ключей криптокошельков из браузеров, включая Chrome, Edge, Firefox и Naver Whale.

Некоторые операции перешли на использование вредоносных LNK-файлов в паре с VBScript, который вызывал mshta.exe для выполнения отраженного DLL-вредоносного ПО непосредственно в памяти.

Примерно в тот же период Kimsuky начала развертывать пользовательские модули RDP Wrapper и прокси-вредоносное ПО для обеспечения скрытого удаленного доступа. Инфо-воры, такие как forceCopy, использовались для сбора учетных данных из файлов конфигурации браузеров без вызова стандартных предупреждений о доступе к паролям.

Группа также злоупотребляла популярными облачными и хостинговыми сервисами для кода. В одной фишинговой кампании в июне 2025 года, нацеленной на Южную Корею, частные репозитории GitHub использовались для хранения вредоносного ПО и выведенных данных. Эти кампании доставляли такие payloads, как XenoRAT, используя Dropbox в качестве промежуточной площадки для украденных файлов. Такое двойное использование доверенных платформ как для доставки, так и для вывода данных позволило Kimsuky скрыть свою вредоносную активность в легитимном трафике сети.