Kimsuky
El grupo de espionaje norcoreano que persigue a expertos en política exterior, programa nuclear y sanciones, con el arsenal de técnicas más amplio de MITRE.
Quién es
Kimsuky es un grupo de espionaje con base en Corea del Norte, activo al menos desde 2012. Otros equipos lo llaman APT43, Velvet Chollima, Emerald Sleet, THALLIUM, Black Banshee, TA427 y Springtail. Se le atribuye el ataque de 2014 a Korea Hydro and Nuclear Power y campañas como Operation STOLEN PENCIL (2018), Kabar Cobra y Smoke Screen (2019).
Cómo entra
Sobre todo por phishing muy trabajado: correos que se hacen pasar por periodistas, académicos o funcionarios, con adjuntos o ligas maliciosas. También explota aplicaciones expuestas a internet.
Qué hace una vez dentro
Usa una familia amplia de malware propio, como BabyShark, AppleSeed, Gold Dragon y Troll Stealer, además de gh0st RAT y QuasarRAT. Roba credenciales de correo y navegador, recolecta documentos y conversaciones y se esconde con decenas de técnicas de sigilo. En 2023 se le observó usando modelos de lenguaje comerciales para apoyar su trabajo.
A quién ataca
Primero, gobierno, centros de análisis y expertos de Corea del Sur. Luego, Naciones Unidas y organizaciones de gobierno, educación, servicios empresariales y manufactura en Estados Unidos, Japón, Rusia y Europa. Su foco es la política exterior, la seguridad nacional de la península, la política nuclear y las sanciones.
Técnicas de MITRE ATT&CK
Reconocimiento 10
Acceso inicial 5
Desarrollo de recursos 15
- T1583Acquire Infrastructure
- T1583.001Domains
- T1583.004Server
- T1583.006Web Services
- T1584.001Domains
- T1585Establish Accounts
- T1585.001Social Media Accounts
- T1585.002Email Accounts
- T1586.002Email Accounts
- T1587Develop Capabilities
- T1587.001Malware
- T1588.002Tool
- T1588.003Code Signing Certificates
- T1588.005Exploits
- T1608.001Upload Malware
Ejecución 11
Persistencia 7
Escalada de privilegios 1
- T1546.001Change Default File Association
Sigilo 31
- T1027Obfuscated Files or Information
- T1027.001Binary Padding
- T1027.002Software Packing
- T1027.007Dynamic API Resolution
- T1027.010Command Obfuscation
- T1027.012LNK Icon Smuggling
- T1027.013Encrypted/Encoded File
- T1027.015Compression
- T1027.016Junk Code Insertion
- T1036.004Masquerade Task or Service
- T1036.005Match Legitimate Resource Name or Location
- T1036.007Double File Extension
- T1055Process Injection
- T1055.001Dynamic-link Library Injection
- T1055.012Process Hollowing
- T1070.004File Deletion
- T1070.006Timestomp
- T1078.003Local Accounts
- T1140Deobfuscate/Decode Files or Information
- T1205Traffic Signaling
- T1218.005Mshta
- T1218.010Regsvr32
- T1218.011Rundll32
- T1480.002Mutual Exclusion
- T1497.001System Checks
- T1564.002Hidden Users
- T1564.003Hidden Window
- T1564.011Ignore Process Interrupts
- T1620Reflective Code Loading
- T1678Delay Execution
- T1684.001Impersonation
Debilitamiento de defensas 4
Acceso a credenciales 8
Descubrimiento 11
- T1007System Service Discovery
- T1012Query Registry
- T1016System Network Configuration Discovery
- T1033System Owner/User Discovery
- T1057Process Discovery
- T1082System Information Discovery
- T1083File and Directory Discovery
- T1124System Time Discovery
- T1217Browser Information Discovery
- T1518.001Security Software Discovery
- T1680Local Storage Discovery
Movimiento lateral 3
Recolección 11
Comando y control 9
Exfiltración 3
Fuente: MITRE ATT&CK v20, grupo G0094.
Arsenal
En verde, las que ya tienen ficha en nuestro catálogo de armamento; las demás llevan a MITRE.
Villanos relacionados
