Attacks against foreign policy experts · December
Annex 76: List of DPRK cyberthreat actors' malicious activities in 2022 monitored by the Panel. RGB Unit: Kimsuky; Case Name: Attacks against foreign policy experts; SPH √; VAS √; VAS Value: 1980 USD worth of bitcoins; Publicized Month: December. (SPH Significant Phishing, KAC knowledge acquisition and espionage, VAS virtual asset seizures)
Nearly 900 foreign policy experts from South Korea · 26/12/2022
The South Korean National Police Agency reveals that the North Korean state-sponsored APT Kimsuky group targeted nearly 900 foreign policy experts from South Korea to steal their personal information and carry out ransomware attacks. [Date Occurred: -; Date Discovered: -]
[사설] 北 전방위 해킹 공격, 사이버 안보 강화해야 · 2022-12-26
attribution sentence(s): 언론사 기자, 국회의원실 비서, 정부기관을 사칭해 전문가들에게 ‘피싱 이메일’을 보낸 일당이 북한 해커 조직인 일명 ‘김수키’로 드러났다. | 북한 해킹 조직이 컴퓨터 서버를 장악해 데이터를 암호화한 뒤 돈을 요구하는 ‘랜섬웨어’를 국내에서 활용한다는 사실도 이번에 처음 확인됐다. | 북한의 해킹 수법은 날로 교묘해지고 있다.
기자·국회의원실등 사칭 전자우편 발송사건, 북 해킹조직 소행으로 확인 · 2022-12-26
- 1 - 보도 일시 2022. 12. 26.(월) 조간 누리망･방송 2022. 12. 25.(일) 09:00 담당 부서 국가수사본부 사이버수사국 책임자 총경 정석화(02-3150-0053) 사이버테러대응과 담당자 경정 이규봉(02-3150-1459) 기자·국회의원실 등 사칭 전자우편 발송사건, 북 해킹조직 소행으로 확인 - 교수 등 49명의 전자우편 감시, 일부 업체 서버에는 랜섬웨어 유포- 경찰청 국가수사본부(사이버수사국)에서는 지난 4. 28. 발송된 『제20대 대통령직 인수위원회』 출입기자를 사칭한 전자우편 및 『태영호 국회의원실』 비서를 사칭한 전자우편(5. 7.), 『국립외교원』을 사칭한 전자우편(10. 26.)에 대한 수사결과, 2013년부터 파악된 북한의 특정 해킹조직 소행으로 확인하였다. 북한 해킹조직은 국내외 무차별 해킹을 통해 26개국 326대(국내 87대)의 서버 컴퓨터를 장악하며 사이버테러를 위한 기반을 확보하였고, 이를 수사기관의 추적을 회피하기 위한 아이피(IP) 주소 세탁용 경유지로 이용 하였다. 북한 해킹조직은 IP주소를 세탁한 뒤, 기자·국회의원실 등을 사칭하며 피싱 사이트로 유도하거나 악성 프로그램을 첨부한 전자우편을 외교·통일· 안보·국방 전문가에게 발송하였다. 이러한 사칭 전자우편은 최소 892명 에게 발송되었다. 피싱 사이트에 접속해 자신의 아이디와 비밀번호를 입력한 외교·통일· 안보·국방 분야 종사자 49명이 확인되었으며, 북한 해킹조직은 이들 피해자의 송·수신 전자우편을 실시간으로 감시하며 첨부 문서와 주소록 등을 빼내 간 것으로 파악되었다. 문화체육관광부 경 찰 청 보 도 자 료 - 2 - 특히, 이번 수사로 북한 해킹조직이 금품 요구 악성 프로그램(랜섬웨어)을 유포한 사실이 국내에서는 최초로 확인되었다. 장악한 서버 중 일부에는 랜섬웨어를 감염시켜 금전을 요구하였으며, 확인된 피해 규모는 국내 13개 업체의 서버 19대이다. 경찰청등 정부 기관은 그간 국내외 민간 보안업체에서 일명‘김수키 (Kimsuky)’ 등으로 명명한 북한의 특정 해킹조직을 여러 차례 수사한 바 있으며, 이번 사건 또한 기존 북한발로 규명된 『한국수력원자력 해킹 사건(2014년)』 및『국가안보실 사칭 전자우편 발송사건(2016년)』과 비교하여, △공격 근원지의 아이피(IP) 주소 △해외 사이트의 가입정보 △ 경유지 침입 ․관리 수법 △ 악성 프로그램의 특징 등이 같고, △ 북한어휘를 사용하는 점, △범행 대상 이 외교·통일·안보·국방 전문가로 일관된 점 등을 근거로 같은 북한 해킹조 직의 소행으로 판단하였다. 경찰청은 피해자와 소속 기업에 피해 사실을 통보하고, 한국인터넷진흥원 및 백신업체와 협력하여 피싱 사이트를 차단하는 한편, 관계기관에 북한 해킹 조직의 침입 수법·해킹 도구 등 관련 정보를 제공하여 정보보호 정책 수립에 활용하도록 하였다. [source: attached PDF of the press release; text as extracted]
Targeting of 892 foreign policy-related experts; first Kimsuky ransomware · between April and October 2022
Para 140: “In December 2022, the National Police Agency of the Republic of Korea announced that Kimsuky had targeted 892 foreign policy-related experts in an effort to steal personal data and email lists between April and October 2022. Forty-nine victims were tricked into signing in to fake websites ... The hackers laundered the Internet Protocol addresses of the victims and employed 326 detour servers in 26 Member States to make tracing difficult. The Agency also explained that it was the first time that it had detected Kimsuky using ransomware. Nineteen servers of 13 businesses were affected, of which two paid 2.5 million won ($1,980) in Bitcoin to the group as ransom.” (annex 78: NPA press release of 26 December 2022)