Gli hacker nordcoreani evolvono i loro attacchi con sofisticati modelli di intrusione

Redazione RHC : 2 Settembre 2022 08:00

Secondo un nuovo rapporto di Kaspersky Lab, il gruppo APT nordcoreano Kimsuky sta conducendo una campagna contro le organizzazioni politiche e diplomatiche sudcoreane, nonché verso i professori universitari sudcoreani, ricercatori di think tank e funzionari del governo.

Il gruppo ha generato catene di infezione attraverso malware Windows progettato per raccogliere file, sequenze di tasti e rubare le credenziali di accesso del browser web.

Nella campagna rilevata, il gruppo utilizza messaggi di phishing contenenti un documento Word con macro che presumibilmente contengono contenuti relativi a questioni geopolitiche nella regione.

Scarica Gratuitamente Byte The Silence, il fumetto sul Cyberbullismo di Red Hot Cyber

«Il cyberbullismo è una delle minacce più insidiose e silenziose che colpiscono i nostri ragazzi. Non si tratta di semplici "bravate online", ma di veri e propri atti di violenza digitale, capaci di lasciare ferite profonde e spesso irreversibili nell’animo delle vittime. Non possiamo più permetterci di chiudere gli occhi». Così si apre la prefazione del fumetto di Massimiliano Brolli, fondatore di Red Hot Cyber, un’opera che affronta con sensibilità e realismo uno dei temi più urgenti della nostra epoca. Distribuito gratuitamente, questo fumetto nasce con l'obiettivo di sensibilizzare e informare. È uno strumento pensato per scuole, insegnanti, genitori e vittime, ma anche per chi, per qualsiasi ragione, si è ritrovato nel ruolo del bullo, affinché possa comprendere, riflettere e cambiare. Con la speranza che venga letto, condiviso e discusso, Red Hot Cyber è orgogliosa di offrire un contributo concreto per costruire una cultura digitale più consapevole, empatica e sicura.

Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]

Supporta RHC attraverso:

• L'acquisto del fumetto sul Cybersecurity Awareness
• Ascoltando i nostri Podcast
• Seguendo RHC su WhatsApp
• Seguendo RHC su Telegram
• Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab

Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.

Il gruppo sfrutta i file HTML-Application (HTA) e Compiled HTML Help (CHM) come esca per compromettere il sistema.

Indipendentemente dal metodo utilizzato, dopo l’accesso iniziale, uno script di Visual Basic viene iniettato da un server remoto per rilevare le impronte digitali della macchina della vittima ed estrarre payload aggiuntivi, incluso un file eseguibile per l’estrazione di informazioni riservate.

La campagna contiene anche un nuovo metodo di attacco. Se il destinatario fa clic sul collegamento nell’e-mail per scaricare documenti aggiuntivi, il suo indirizzo e-mail viene inviato al server di comando e controllo (C&C). Se la richiesta non contiene l’indirizzo e-mail previsto, la vittima apre un documento legittimo non infetto per il download.

Per complicare ulteriormente la catena dell’infezione, il primo server C&C reindirizza l’indirizzo IP della vittima a un altro server, che quindi lo confronta con la richiesta in arrivo generata dopo che la vittima ha aperto il documento esca. 

La “verifica della vittima” sui due server C&C garantisce che VBScript venga consegnato solo dopo aver verificato con successo l’indirizzo IP compromesso.

Secondo Kaspersky Lab, il gruppo Kimsuky evolve costantemente i propri modelli di infezione da malware e introduce nuovi metodi per rendere l’analisi più difficile. La principale difficoltà nel tracciare questo gruppo è che è difficile determinare l’intera catena di infezione.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli