Individuals interested in North Korean military weapons and technical cooperation, likely South Korean government or military-related entities · 13/04/2026
Researchers at Genians report that APT37 threat actors used Facebook for reconnaissance and pretexting. They lured targets into installing tampered PDF software to execute shellcode, enabling multi-stage espionage and data theft. [Date Occurred: Late 2025 to early 2026; Date Discovered: Late 2025]
APT37의 프리텍스팅 기반 표적 침투: 페이스북 정찰과 소프트웨어 변조 공격 분석 · 2026-04-12
meta description: APT37 그룹의 프리텍스팅 전술이 포착되었습니다. 페이스북으로 1차 접근을 수행한 뒤, 메신저를 통해 암호화된 PDF 형식의 파일을 전송하여 이를 열람하기 위한 전용 PDF Viewer 프로그램의 설치를 유도했습니다. | attribution sentence: 개요 (Overview) 지니언스 시큐리티 센터(Genians Security Center)는 APT37 위협 행위자가 소셜 네트워크 플랫폼을 활용하여 수행한 표적 침투 캠페인에 대한 심층 분석을 수행하였습니다. | target sentence: ◈ 주요 결과 (Key Findings) 북한 평양·평성 출신 표기 특정 페이스북 계정 2개를 활용한 정찰 수행 페이스북 친구 추가로 신뢰 구축 후 메신저 전환, 특정 주제로 표적 유인 암호화된 PDF 군사 무기 문서 제공을 빙자하여 전용 PDF Viewer 설치 유도 정교하게 변조된 Wondershare PDFelement 설치본을 통한 Shellcode 실행 및 초기 침투 일본 부동산 정보 서울지점 사이트를 경유한 JPG 위장 페이로드를 통한 후속 명령 수행 식별된 침해지표(IoC) 기반 탐지와 APT 회피 기법 대응을 위한 행
APT37’s Pretexting-Based Targeted Intrusion: Analysis of Facebook Reconnaissance and Software Tampering Attacks · 2026-04-12
meta description: Pretexting by APT37 was identified. After Facebook contact, they sent an encrypted PDF via messenger and lured targets to install a viewer. | attribution sentence: Overview Genians Security Center conducted an in-depth analysis of a targeted intrusion campaign carried out by the APT37 threat actor through a social networking platform. | target sentence: ◈ Key Findings Conducted reconnaissance using two Facebook accounts claiming to be from Pyongyang and Pyongsong, North Korea Built trust by adding targets as Facebook friends, then moved the conversation to Messenger and lured them using specific topics Tricked targets into installing a dedicated PD