blank

blank

O Escritório de Controle de Ativos Estrangeiros (OFAC) do Departamento do Tesouro dos Estados Unidos, em conjunto com suas contrapartes na Austrália, no Japão e na República da Coreia, anunciou sanções a oito agentes estrangeiros da Coreia do Norte e ao grupo de espionagem cibernética Kimsuky.

Kimsuky foi designado pelo Ministério dos Negócios Estrangeiros da Coreia do Sul (MoFA) em junho de 2023. Kimsuky, um grupo de espionagem cibernética que está ativo pelo menos desde 2012, concentrou seus esforços de coleta de informações em questões de política externa e de segurança nacional.

De acordo com a designação, Kimsuky está subordinado ao Reconnaissance General Bureau (RGB), o principal serviço de inteligência estrangeiro da República Popular Democrática da Coreia (RPDC). As campanhas de espionagem cibernética de Kimsuky, segundo o Tesouro, apoiam diretamente as ambições estratégicas e nucleares da RPDC.

Kimsuky usa principalmente spear-phishing para atingir indivíduos empregados pelo governo, centros de pesquisa, grupos de reflexão, instituições acadêmicas e organizações de mídia de notícias, incluindo entidades na Europa, Japão, Rússia, Coreia do Sul e Estados Unidos. O grupo tem sido associado a vários ataques cibernéticos, incluindo:

  • Um ataque em 2014 contra o Banco Central da Malásia, que resultou no roubo de US$ 81 milhões;
  • Um ataque em 2017 contra a Sony Pictures Entertainment, que levou ao vazamento de informações confidenciais;
  • Um ataque em 2020 contra a Microsoft, que permitiu a Kimsuky instalar malware em computadores de funcionários do governo dos Estados Unidos.
ADVERSÁRIO: Kimsuky
INDÚSTRIAS: Relações Exteriores, Governo, Bancos, Criptomoeda, Nuclear, Jornalistas, Político, Infraestrutura crítica
PAÍSES-ALVO: Republica da Coréia do Sul, Estados Unidos da América, Japão, Vietnã, Austrália
FAMÍLIAS DE MALWARE: SWEETDROP, AppleSeed, BabyShark
ATT&CK IDS: T1003 – Despejo de credenciais do sistema operacional, T1005 – Dados do Sistema Local, T1007 – Descoberta de serviço do sistema, T1012 – Consulta ao Registro, T1016 – Descoberta de configuração de rede do sistema, T1021 – Serviços Remotos, T1027 – Arquivos ou informações ofuscadas, T1036 – Mascaramento,T1040 – Sniffing de rede, T1041 – Exfiltração pelo Canal C2, T1053 – Tarefa/Trabalho Agendado, T1055 – Injeção de Processo, T1056 – Captura de Entrada, T1057 – Descoberta de Processo, T1059 – Interpretador de Comandos e Scripts, T1070 – Remoção de Indicador no Host, T1071 – Protocolo da Camada de Aplicação, T1074 – Dados preparados,T1078 – Contas Válidas, T1082 – Descoberta de informações do sistema, T1083 – Descoberta de arquivos e diretórios, T1098 – Manipulação de Conta, T1102 – Serviço Web, T1105 – Transferência de ferramenta de entrada, T1111 – Interceptação de autenticação de dois fatores, T1112 – Modificar registro, T1114 – Coleta de e-mail, T1133 – Serviços remotos externos, T1136 – Criar conta, T1140 – Desofuscar/Decodificar Arquivos ou Informações, T1176 – Extensões do navegador, T1190 – Explorar aplicativo voltado ao público, T1204 – Execução do Usuário, T1218 – Execução de proxy binário assinado, T1219 – Software de acesso remoto, T1505 – Componente de software de servidor, T1518 – Descoberta de Software, T1534 – Spearphishing interno, T1543 – Criar ou modificar processo do sistema, T1546 – Execução acionada por evento, T1547 – Execução de inicialização automática de inicialização ou logon, T1550 – Usar material de autenticação alternativo, T1552 – Credenciais não seguras, T1553 – Subverter controles de confiança, T1555 – Credenciais de armazenamentos de senhas, T1557 – Homem do Meio, T1560 – Arquivar dados coletados, T1562 – Prejudicar Defesas, T1564 – Ocultar artefatos, T1566 – Phishing, T1567 – Exfiltração por serviço da Web, T1583 – Adquirir Infraestrutura, T1584 – Infraestrutura comprometida, T1585 – Estabelecer contas, T1586 – Contas comprometidas, T1587 – Desenvolver Capacidades, T1588 – Obter capacidades, T1589 – Coletar informações de identidade da vítima, T1591 – Coletar informações da organização da vítima, T1593 – Pesquisar sites/domínios abertos, T1594 – Pesquisar sites de propriedade da vítima, T1598 – Phishing para obter informações, T1608 – Capacidades de palco, T1018 – Descoberta Remota de Sistema, T1135 – Descoberta de compartilhamento de rede

 

 

A Coreia do Norte foi uma das primeiras a adotar a utilização de criptomoedas para lavagem de dinheiro e, nos últimos cinco anos, tem atacado o ecossistema das criptomoedas a uma velocidade e escala alarmantes. Portanto, grande parte da discussão recente tem sido sobre o roubo de criptografia na RPDC.

Por exemplo, o TRM Labs informou que nos últimos cinco anos, hackers norte-coreanos roubaram mais de US$ 2 bilhões em criptomoedas em mais de 30 ataques.

Dada a dimensão e a escala da atividade de pirataria informática da Coreia do Norte, às vezes é fácil esquecer que um Estado tão invulgar como a RPDC também utiliza técnicas de espionagem cibernéticas mais tradicionais.

As pequenas quantidades de criptografia conhecidas por estarem vinculadas a Kimsuky estão vinculadas a usos mais operacionais do que as centenas de milhões de criptomoedas que o grupo Lazarus, criminoso cibernético da Coreia do Norte, movimenta na rede.

No gráfico abaixo do TRM Labs, os fundos que fluem de Kimsuky para o processador de pagamentos foram provavelmente usados ​​para apoiar suas campanhas de espionagem online. Isso pode incluir a compra de serviços VPN ou registros de domínio.

blank

Embora o uso de criptomoedas por Kimsuky seja relativamente pequeno e usado principalmente para financiar suas operações cibernéticas e de espionagem, tudo isso faz parte da estratégia mais ampla de financiamento cibernético e ilícito da Coreia do Norte, que envolveu ataques de malware, hacks de infraestrutura do banco central e roubo de bilhões de dólares do ecossistema criptográfico.

As ações da OFAC e do MoFA da Coreia são mais um passo para mitigar o risco dos grupos cibercriminosos da Coreia do Norte. As sanções impedem que os indivíduos e entidades sancionados acessem o sistema financeiro dos Estados Unidos e de outros países. Elas também enviam uma mensagem clara aos grupos cibernéticos da Coreia do Norte de que suas atividades serão levadas a sério.

Descubra mais sobre DCiber

Assine para receber os posts mais recentes por e-mail.

ARTIGOS RELACIONADOSMais do autor