Un nuovo allarme evidenzia l’uso di tattiche di ingegneria sociale da parte di attori informatici nordcoreani per colpire settori quali i think tank, il mondo accademico e i media. Questi “sforzi prolungati di raccolta di informazioni” sono attribuiti a un gruppo sponsorizzato dallo stato noto come Kimsuky, anche conosciuto con i nomi APT43, ARCHIPELAGO, Black Banshee, Emerald Sleet (precedentemente Thallium), Nickel Kimball, e Velvet Chollima.
Gli attacchi di Kimsuky
“La Corea del Nord si affida pesantemente alle informazioni ottenute da queste campagne di spear-phishing,” affermano le agenzie. “Compromissioni di successo degli individui presi di mira permettono agli attori di Kimsuky di creare email di spear-phishing più credibili ed efficaci che possono essere utilizzate contro obiettivi sensibili di alto valore.”
Kimsuky è un elemento ausiliario all’interno del Reconnaissance General Bureau (RGB) della Corea del Nord ed è noto per raccogliere informazioni tattiche su eventi geopolitici e negoziati che influenzano gli interessi del regime. È attivo dal 2012.
La strategia di Kimsuky
“Questi attori informatici stanno impersonando strategicamente fonti legittime per raccogliere informazioni su eventi geopolitici, strategie di politica estera e sviluppi di sicurezza di interesse per la DPRK nella penisola coreana,” ha affermato Rob Joyce, direttore della Cybersecurity della NSA.
Tra le vittime si annoverano giornalisti, studiosi accademici, ricercatori di think tank e funzionari governativi, con l’inganno principalmente pensato per individuare persone che lavorano su questioni legate alla Corea del Nord, come esperti di politica estera e politica.
Le tecniche utilizzate
Kimsuky è stato osservato mentre sfruttava informazioni di fonte aperta per identificare potenziali obiettivi di interesse e successivamente perfezionava le proprie identità online per apparire più legittimo, creando indirizzi email che somigliano a quelli di persone reali che cercano di impersonare.
L’adozione di identità false è una tattica abbracciata da altri gruppi sponsorizzati dallo stato e viene vista come un trucco per guadagnare fiducia e costruire un rapporto con le vittime. Il nemico è noto anche per compromettere gli account e-mail delle persone impersonate per creare messaggi e-mail convincenti.
La risposta delle autorità
Questa evoluzione segue poche settimane dopo che la società di cybersecurity SentinelOne ha dettagliato l’uso da parte di Kimsuky di strumenti personalizzati come ReconShark (una versione aggiornata di BabyShark) e RandomQuery per il riconoscimento e l’esfiltrazione delle informazioni.
All’inizio di marzo, le autorità governative tedesche e sudcoreane hanno suonato l’allarme sugli attacchi informatici lanciati da Kimsuky, che prevedono l’uso di estensioni del browser fraudolente per rubare le caselle di posta di Gmail degli utenti.
L’allarme segue anche le sanzioni imposte dal Dipartimento del Tesoro degli Stati Uniti a quattro entità e una persona che sono coinvolte in attività informatiche dannose e schemi di raccolta fondi che mirano a sostenere le priorità strategiche della Corea del Nord.