Неочакван враг: Севернокорейски хакери проникват в Кремъл

Анализите на заплахите, свързани с кампанията Konni показват нарастваща активност от страна на групата Kimsuky, която използва разнообразни методи за скрити атаки. Опасността се крие в използването на легитимни облачни услуги и FTP за инсцениране на инфекции в целевите системи, което затруднява откриването на злонамерени файлове. Кампанията засяга не само системи в Южна Корея, но и руски правителствени агенции и други международни цели.

Използвайки техники като spear-phishing и зловредни документи (например файлове с разширения .exe, .scr, .ppam), нападателите маскират атаките си като легитимни заявки или документи.

При една такава атака, идентифицирана през 2022 година нападателите са използвали фалшиви документи, свързани с външнополитическата дейност на Русия, както и документи за данъчни и финансови транзакции, което потвърждава широките цели на кампанията.

Нападателите използват безплатни домейни и хостинг услуги за изпълнение на команди за дистанционно управление, което улеснява създаването и скриването на сървъри за командване и контрол. Важен елемент от атаките е модифицирането и инжектирането на зловреден софтуер чрез създаване на RAT с помощта на PowerShell и VBS, които след това изпълняват криптирани команди на компрометирани устройства.

Многобройните файлове, открити по време на анализа показват способността на групата да се адаптира към средата и да използва сложни методи за заобикаляне на традиционните защити, включително атаки, базирани на файлове и без файлове. Съвременните системи за откриване и реагиране на крайни точки (EDR) позволяват по-бързо откриване на заплахи и ранно предотвратяване на заплахите, което намалява риска от мащабни пробиви в данните.

Свързаните с Kimsuky кампании през последните години включват не само целенасочени атаки срещу правителствени агенции, но и атаки срещу представители на операции с криптовалути, което показва финансовите мотиви на групата.