5th June – Threat Intelligence Report · 2023-06-05
United States and Korean security agencies have released a joint advisory warning against North Korea’s social engineering methods used to gain initial access to think tanks, media and academia organizations.
Impersonation of South Korean think tank researchers · June 1, 2023
Kimsuky actors impersonate researchers from legitimate South Korean think tanks to send spearphishing emails to political and North Korean experts.
Impersonation of officials (South Korean National Assembly, presidential office) · June 1, 2023
Below is an example of how Kimsuky actors approach their targets by impersonating individuals responsible for North Korean policies in government agencies, such as the South Korean National Assembly or the presidential office.
Individuals employed by research centers and think tanks, academic institutions, and news media organizations · 01/06/2023
The FBI, the U.S. Department of State, and the National Security Agency (NSA), together with the Republic of Korea’s National Intelligence Service (NIS) issue a warning that describes the spying methods of Kimsuky, the notorious North Korean nation-state hacking group that targets think tanks, academia and news media. The same campaigns ia also unearthed by researchers at Sentinel One. [Date Occurred: -; Date Discovered: -]
한미(韓美) 합동 보안권고문 : 북한 킴수키(Kimsuky) 조직의 싱크탱크, 학계, 미디어 대상 사회공학적 기법을 악용한 해킹공격 주의! · 2023-06-02
summary: 안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 6월 2일, 대한민국 국가정보원(NIS)ᆞ경찰청(NPA)ᆞ외교부(MOFA)와 미합중국 연방수사국(FBI)ᆞ국무부(DoS)ᆞ국가안보국(NSA)은 공동으로 북한 정권과 연계된 사이버 행위자들이 전세계의 연구소ᆞ싱크탱크ᆞ학술기관ᆞ언론사 관계자들을 대상으로 사회공학적 기법을 악용한 컴퓨터 네트워크 탈취(CNE) 공격에 대한 경각심을 높이기 위해 합동 주의보를 발표하였습니다. 북한 사이버 행위자들은 주로 실존하는기자, 학자 또는 대북정책 그룹과 신뢰할만한 연관성을 가진 개인들을 사칭하여 스피어피싱 공격을 수행하는 것으로 알려져 있으며, 북한은 공격 대상의 사적인 문서, 연구 결과 및 통신 내용에 불법적으로 접근하여 지정학적 사안들, 외교정책 및 전.. | target sentence: 6월 2일, 대한민국 국가정보원(NIS)ᆞ경찰청(NPA)ᆞ외교부(MOFA)와 미합중국 연방수사국(FBI)ᆞ국무부(DoS)ᆞ국가안보국(NSA)은 공동으로 북한 정권과 연계된 사이버 행위자들이 전세계의 연구소ᆞ싱크탱크ᆞ학술기관ᆞ언론사 관계자들을 대상으로 사회공학적 기법을 악용한 컴퓨터 네트워크 탈취(CNE) 공격에 대한 경각심을 높이기 위해 합동 주의보를 발표하였습니다.
Similar AhnLab Response Cases Regarding Korea-US Joint Cyber Security Advice · 2023-06-02
excerpt: On June 2nd, the Korean NIS (National Intelligence Service), NPA (National Police Agency), and MOFA (Ministry of Foreign Affairs) released a joint security advisory regarding the spear phishing attacks of North Korea’s Kimsuky group with the US FBI (Federal Bureau of Investigation), DoS (Department of State), and NSA (National Security Agency). The government agencies stated […] | attribution sentence: On June 2nd, the Korean NIS (National Intelligence Service), NPA (National Police Agency), and MOFA (Ministry of Foreign Affairs) released a joint security advisory regarding the spear phishing attacks of North Korea’s Kimsuky group with the US FBI (Federal Bureau of Investigation), DoS (Department of State), and NSA (National Security Agency). | target sentence: [ASEC Blog URLs] Uploaded Date Post Title Link May 18, 2023 Kimsuky’s Attack Attempts Disguised as Press Releases of Various Topics Link May 16, 2023 Kimsuky Group’s Phishing Attacks Targeting North Korea-Related Personnel Link Mar.
‘한미 합동 사이버 보안 권고’ 관련, 안랩 유사 대응 사례 · 2023-06-02
excerpt: 6월 2일 오늘 대한민국 국가정보원(NIS)·경찰청(NPA)·외교부(MOFA)와 미합중국 연방수사국(FBI)·국무부(DoS)·국가안보국(NSA)은 북한 킴수키 조직의 스피어 피싱 공격과 관련한 합동 보안 권고문을 공개하였다. 전세계의 연구소·싱크탱크·학술기관·언론사 관계자들을 대상으로 사회공학적 기법을 악용한 컴퓨터 네트워크 탈취(CNE) 공격에 대한 경각심을 높이기 위함이라고 언급하였으며 주로 기자, 학자 또는 대북정책 그룹과의 연관성을 가진 개인들을 사칭하여 이메일을 통한 스피어피싱 공격을 수행하는 것으로 알려져 있다고 밝혔다. 제목: 북한 […] | attribution sentence: 제목: 북한 김수키 조직의 싱크탱크·학계·미디어 대상 사회공학적 기법을 악용한 해킹공격 보안 권고문: 대한민국 국가사이버안보센터 (NCSC) 바로가기 IOC가 공개되지는 않았으나, 공개된 내용과 유사한 김수키 해킹조직의 사회공학적 기법에 대해 AhnLab Security Emergency response Center(ASEC)에서 다음과 같이 공개한바 있다. | target sentence: 전세계의 연구소·싱크탱크·학술기관·언론사 관계자들을 대상으로 사회공학적 기법을 악용한 컴퓨터 네트워크 탈취(CNE) 공격에 대한 경각심을 높이기 위함이라고 언급하였으며 주로 기자, 학자 또는 대북정책 그룹과의 연관성을 가진 개인들을 사칭하여 이메일을 통한 스피어피싱 공격을 수행하는 것으로 알려져 있다고 밝혔다.
Kimsuky Strikes Again | New Social Engineering Campaign Aims to Steal Credentials and Gather Strategic Intelligence -SentinelOne · June
Annex 59: List of DPRK Cyberthreat actors’ malicious activities monitored by the Panel in 2023 (row 25 of 75, PDF p. 323). DPRK cyber actor: Kimsuky; Report Name: Kimsuky Strikes Again | New Social Engineering Campaign Aims to Steal Credentials and Gather Strategic Intelligence -SentinelOne; Case Summary: Kimsuky conducted a social engineering campaign targeting experts in DPRK issues to steal Google and subscription credentials of a reputable news and analysis service focusing on the DPRK, as well as deliver reconnaissance malware. Kimsuky also engaged in extensive email correspondence and used spoofed URLs, websites imitating legitimate web platforms and Office documents weaponized with the ReconShark malware. The activity indicates Kimsuky’s growing dedication to social engineering and highlights the group’s increasing interest in gathering strategic intelligence.; Publication Month: June
Social engineering campaign targeting DPRK-affairs experts to steal Google and NK News subscription credentials (ReconShark) · June 2023 (report)
Annex 65, Case 1: “In a June 2023, a cybersecurity firm reported a Kimsuky social engineering campaign, targeting experts in DPRK affairs, to steal subscription credentials from Google and NK News, a DPRK-focused news and analysis service. via fake login websites and to gather strategic intelligence. Kimsuky employed sophisticated tactics, including extensive email correspondence, and spoofed URLs and deployed ‘ReconShark’ in the process.”
Kimsuky Strikes Again | New Social Engineering Campaign Aims to Steal Credentials and Gather Strategic Intelligence | SentinelOne · 2023-06-06T10:55:44.000Z
Threat actor targets experts in North Korean affairs with spoofed URLs and weaponized Office documents to steal Google and other credentials.
The Week in Security item: Kimsuky targets think tanks and news media with social engineering attacks (The Hacker News) · 2023-06-08T05:00:00.000Z
The North Korean nation-state threat actor known as Kimsuky has been linked to a social engineering campaign targeting experts in North Korean affairs with the goal of stealing Google credentials and delivering reconnaissance malware.