El grupo APT de Corea del Norte apunta a las credenciales de correo electrónico en una campaña de ingeniería social

Los investigadores advierten sobre una campaña de ingeniería social del grupo norcoreano APT Kimsuky que intenta robar credenciales de correo electrónico e inyectar malware. La campaña, dirigida a expertos en asuntos de Corea del Norte, es parte de las operaciones de inteligencia más grandes de este grupo, que apuntan a centros de investigación, grupos de expertos, instituciones académicas y medios de comunicación de todo el mundo.

«Kimsuky, un presunto grupo de amenazas persistentes avanzadas (APT) de Corea del Norte cuyas actividades están alineadas con los intereses del gobierno de Corea del Norte, es conocido por atacar a organizaciones e individuos en todo el mundo», dijeron investigadores de la firma de seguridad SentinelOne. un informe. «El grupo ha estado operando desde al menos 2012 y con frecuencia emplea tácticas de ingeniería social y phishing dirigidas para recopilar inteligencia y acceder a información confidencial».

Tergiversar una fuente confiable de noticias y análisis de políticas de Corea del Norte

En la campaña analizada por SentinelOne, que sirve como ejemplo de la profundidad de la ingeniería social de Kimsuky, el grupo se hizo pasar por los fundadores de NK News, un sitio web de noticias estadounidense por suscripción centrado en asuntos de Corea del Norte. Esto es parte del enfoque cada vez más común de Kimsuky de forjar una relación con sus objetivos antes de entregar una carga maliciosa.

En este caso, el correo electrónico engañoso se envió a las víctimas desde un nombre de dominio muy similar al de NK News y se les pidió que leyeran un borrador de artículo sobre la amenaza nuclear que representa Corea del Norte. Cuando las víctimas respondieron y respondieron al mensaje, los atacantes enviaron una URL a un documento alojado en Google Docs, que luego los redirigió a una página diseñada para recopilar las credenciales de Google.

«El objetivo de la URL es manipulado por la técnica de suplantación de identidad, en la que la propiedad HTML href se configura para apuntar a un sitio web creado por Kimsuky», dijeron los investigadores. «Este método, comúnmente utilizado en ataques de phishing, crea una discrepancia entre la legitimidad percibida del enlace (un documento de Google genuino) y el sitio web real visitado cuando se hace clic en la URL».

De hecho, la URL que se muestra en realidad conduce a un artículo en Google Docs sobre el tema «Amenaza nuclear de Corea del Norte», que incluye ediciones y comentarios para que parezca que es un trabajo en progreso. Esto subraya que los atacantes se tomaron el tiempo para hacer que su ataque fuera lo más creíble posible. De hecho, la página de phishing a la que acceden los usuarios cuando hacen clic en la URL imita la página que normalmente muestra Google Docs cuando alguien necesita solicitar acceso a un documento.