Η ομάδα κυβερνοεπιθέσεων kimsuky, η οποία συνδέεται με τη βόρεια Κορέα, χρησιμοποιεί δημοφιλείς πλατφόρμες φιλοξενίας κώδικα όπως το github, το gitlab και το codeberg για τη διανομή κακόβουλου λογισμικού και την υποκλοπή ευαίσθητων δεδομένων από ουκρανούς ειδικούς στη διπλωματία, την ασφάλεια και τη διεθνή πολιτική.
Η νέα εκστρατεία συνδυάζει στοχευμένα μηνύματα ηλεκτρονικού ταχυδρομείου, πλαστά αρχεία pdf και δέσμες ενεργειών των windows για να μετατρέψει καθημερινές επαγγελματικές επικοινωνίες σε σημεία εισόδου.
Kimsuky: Στοχευμένες επιθέσεις phishing και τεχνικές παραπλάνησης
Η αλυσίδα των επιθέσεων ξεκινά συνηθέστερα με προσκλήσεις σε συνέδρια ή αιτήματα έρευνας που αποστέλλονται σε ειδικούς. Σε αντίθεση με παλαιότερες επιθέσεις που περιείχαν άμεσα κακόβουλα συνημμένα, οι δράστες αποστέλλουν αρχικά μηνύματα χωρίς συνδέσμους προκειμένου να οικοδομήσουν εμπιστοσύνη. Οι βασικές μέθοδοι περιλαμβάνουν:
- αποστολή συμπιεσμένων αρχείων zip με ψεύτικες προσκλήσεις html μετά από αρχική απάντηση
- χρήση κακόβουρων συντομεύσεων μεταμφιεσμένων σε αρχεία pdf
- αξιοποίηση πλαστών σελίδων σύνδεσης σε συναντήσεις και πλαστών βιογραφικών σημειωμάτων
Μηχανισμός μόλυνσης και απόκρυψης κώδικα
Το άνοιγμα των κακόβουρων συντομεύσεων ενεργοποιεί τη γραμμή εντολών και χρησιμοποιεί εργαλεία λήψης για την ανάκτηση κρυφών σεναρίων από αποθετήρια. Ο κώδικας περιλαμβάνει μηχανισμούς απόκρυψης εντολών powershell μέσω προσθήκης περιττών λέξεων, οι οποίες αφαιρούνται αμέσως πριν από την εκτέλεση.
Για τη διατήρηση της πρόσβασης, το κακόβουλο λογισμικό δημιουργεί προγραμματισμένες εργασίες που εκτελούνται περιοδικά. Οι εργασίες αυτές συλλέγουν πληροφορίες συστήματος και καταλόγους από τον φάκελο λήψεων, κωδικοποιώντας τα δεδομένα σε μορφή base64 προτού τα ανεβάσουν μέσω του επίσημου api του github.
Αξιοποίηση υπηρεσιών ανάπτυξης λογισμικού και συμπεράσματα
Η ανάλυση των ερευνητών έδειξε ότι οι επιτιθέμενοι ενσωματώνουν ακόμη και πλαστές εφαρμογές εγκατάστασης δημοφιλών εργαλείων τηλεδιάσκεψης στα αποθετήρια, οι οποίες εκτελούν κρυφά σενάρια παρασκηνίου.
Η εκστρατεία καταδεικνύει την ευρηματικότητα των ομάδων κυβερνοεπιθέσεων στην κατάχρηση αξιόπιστων υποδομών ανάπτυξης λογισμικού, καθιστώντας απαραίτητη την προσεκτική παρακολούθηση των ασυνήθιστων συνδέσεων και διαδικασιών στα τελικά σημεία δικτύου.
