Kimsuky

Злоумышленники используют почтовые аккаунты, зарегистрированные в различных почтовых сервисах, для контроля ботов, а также в качестве зоны выгрузки., Мы выяснили, что скомпрометированы оказались следующие сервисы: mail.bg, hotmail.com, gmail.com, india.com, gmx.com, mail.com, zoho.com, indiatimes.com, 8panther.com.

Слова, которые авторы использовали в путях компиляции обнаруженных образцов вредоносных программ, указывают, что за атакой стоят владеющие корейским языком лица. Также мы смогли определить IP-адреса, которые атакующие использовали для доступа к почтовым аккаунтам с целью управления ботами, - все они оказались китайскими, а более точная географическая локация указывает на районы рядом с границей с Северной Кореей. Эти факты, а также то обстоятельство, что жертвы атаки представляют особенный интерес для северокорейского правительства, могут указывать на то, что за атакой стоят лица из Северной Кореи.

Эта кибершпионская группа стояла за атаками на научные центры в Южной Корее. Начальное заражение осуществлялось посредством троянца-дроппера, который затем загружал дополнительные вредоносные программы. В каждой из них была реализована определенная шпионская функция.

Дополнительная информация