North Korean state-sponsored hacking group Kimsuky stole emails from South Korean and German research institutes using Chromium-based web browser extensions and Google Play sync feature · Not available
The North Korean state-sponsored hacking group Kimsuky stole emails from experts at South Korean and German research institutes studying the Korean conflict, the German Federal Office for the Protection of the Constitution (BfV) and South Korea's National Intelligence Service (NIS) announced in a first Joint Cyber Security Advisory.
Observed attacks were conducted in a two-stage process. First, the hackers used phishing emails to trick their victims into installing malicious Chromium-based web browser extensions, which they used to steal login credentials and emails from compromised users' Google accounts. With the captured login details, the hackers accessed the associated accounts to directly install malicious apps on mobile devices. The Joint Advisory references two recently discovered cyber espionage campaigns, without disclosing additional details. The two agencies assessed the deployed tactics and techniques allow Kimsuky to extend the scope of this espionage activity to target think tanks focused on diplomacy and security globally.
Sources cited by EuRepoC (9)
Show 4 more
Kimsuky spear phishing against Korean and German entities · over the last couple of years (as of 20 March 2023)
The BfV and NIS assess that the aforementioned actor has already targeted Korean and German entities using spear phishing emails over the last couple of years.
Malicious Chromium browser extension stealing Gmail contents; abuse of Google Play/Android developer function · 2023
In the course of two recently observed campaigns, KIMSUKY abused web browser extension programs and legitimate Google services.
Users in South Korea · 20/03/2023
A joint cybersecurity advisory from the German Federal Office for the Protection of the Constitution (BfV) and the National Intelligence Service of the Republic of Korea (NIS) warns about Kimsuky's use of Chrome extensions to steal target's Gmail emails. [Date Occurred: -; Date Discovered: -]
한독(韓獨) 합동 사이버 보안 권고 : 킴수키(Kimsuky) 해킹조직의 구글 브라우저 및 앱 스토어 서비스 악용 공격 주의 · 2023-03-21
summary: 안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 3월 20일, 대한민국 국가정보원(NIS)와 독일 헌법보호청(BfV)이 합동 권고문을 발표하였습니다. 이번 합동 권고문은 킴수키(Kimsuky) 해킹조직(탈륨, 벨벳천리마 등으로도 불림)이 한반도ㆍ대북 전문가를 공격하기 위해 구글에서 제공하는 브라우저 및 앱 스토어 서비스를 악용한 사례에 대해 공개하여 사이버 공격에 대한 사용자들의 경각심 고취를 목적으로 하고 있습니다. 킴수키 해킹 조직은 이번 공격에서 2가지 공격 수법을 사용하였습니다. 1) 크롬미움 브라우저 확장프로그램(Extension)을 악용한 구글메일 절취 스피어피싱 이메일을 통해 악성 크로미움 확장프로그램 설치를 유도한 후, 피해자가 G메일 로그인시 자동으로 확장프로그램이 동작.. | attribution sentence: 이번 합동 권고문은 킴수키(Kimsuky) 해킹조직(탈륨, 벨벳천리마 등으로도 불림)이 한반도ㆍ대북 전문가를 공격하기 위해 구글에서 제공하는 브라우저 및 앱 스토어 서비스를 악용한 사례에 대해 공개하여 사이버 공격에 대한 사용자들의 경각심 고취를 목적으로 하고 있습니다.
Overview of AhnLab’s Response to “Korea-Germany Joint Cyber Security Advice” · 2023-03-20
excerpt: On March 20, Korea’s National Intelligence Service (NIS) and Germany’s Federal Office for the Protection of the Constitution (Bundesamt für Verfassungsschutz, BfV) released a joint security advisory related to the Kimsuky hacker group. According to the joint security advisory, the Kimsuky hacker group exploited the extension feature of Chromium browsers and the app developer support […] | attribution sentence: On March 20, Korea’s National Intelligence Service (NIS) and Germany’s Federal Office for the Protection of the Constitution (Bundesamt für Verfassungsschutz, BfV) released a joint security advisory related to the Kimsuky hacker group. | target sentence: Although their primary targets are Korean Peninsula and North Korea experts, it was stated that it could expand to unspecified individuals around the world.
‘한독 합동 사이버 보안 권고’ 관련 안랩 대응 현황 · 2023-03-20
excerpt: 3월 20일 오늘 대한민국 국가정보원(NIS)과 독일 헌법보호청(BfV)은 킴수키(김수키) 해킹조직과 관련한 합동 보안 권고문을 발표하였다. 합동 보안 권고문에 따르면, 킴수키 해킹조직은 크로미움 브라우저 확장프로그램과 안드로이드 앱 개발자 지원 기능을 악용하여 계정정보 절취(탈취) 공격을 하였다. 한반도•대북 전문가를 주요 공격타깃으로 하고 있으나, 전 세계 불특정 다수로 공격이 확대될 수 있다고도 하였다. 제목: 킴수키 해킹조직의 구글 브라우저 및 앱 […] | attribution sentence: 3월 20일 오늘 대한민국 국가정보원(NIS)과 독일 헌법보호청(BfV)은 킴수키(김수키) 해킹조직과 관련한 합동 보안 권고문을 발표하였다. | target sentence: 한반도•대북 전문가를 주요 공격타깃으로 하고 있으나, 전 세계 불특정 다수로 공격이 확대될 수 있다고도 하였다.
한국-독일 정보기관 합동, 북한 킴수키 조직의 신종 해킹 수법 경고 · 2023-03-20
attribution sentence(s): 국정원은 “북한 정찰총국과 연계된 킴수키의 최근 공격이 대부분 스피어피싱을 통해 이루어지고 있다며, 사용자가 직접 ‘악성 이메일 판별 방법’을 배우고 의심스런 이메일 수신시 유의사항을 준수해야 한다”고 강조했다. | 국정원 백종욱 3차장은 “북한의 신종 해킹 활동에 대한 경각심을 갖고 일상생활에서 각별한 주의를 기울일 것을 당부한다”면서 “국정원은 우리 대한민국은 물론 전세계가 안전한 사이버공간을 이용할 수 있도록 세계 각국과 합동 보안 권고문을 지속 발표해 나갈 것이다”고 말했다. | [KCSCON 2026] 2026년 Kimsuky의 스피어피싱·지속성 전략 -엔키화이트햇 위협연구팀 김영운-
Spear-phishing with malicious Google Chrome extensions to exfiltrate Gmail emails · March 2023 (advisory)
Para 110: “According to an advisory released in March 2023 from two Member States, Kimsuky deployed a spear-phishing campaign involving the use of malicious Google Chrome extensions to exfiltrate Gmail emails by exploiting the Chrome DevTools application programming interface to facilitate email message interception and theft. The advisory also contained a warning about Kimsuky’s use of the Android malwares FastFire, FastViewer and FastSpy.”
The Week in Security item: North Korean hackers using Chrome extensions to steal Gmail emails (BleepingComputer) · 2023-03-23T05:00:00.000Z
A joint cybersecurity advisory from Germany and South Korea warn about Kimsuky's use of Chrome extensions to steal target's Gmail emails. Kimsuky (aka Thallium, Velvet Chollima) is a North Korean threat group that uses spear phishing to conduct cyber-espionage against diplomats, journalists, government agencies, university professors, and politicians.