El actor de amenazas norcoreano APT43 está volviendo al ciberespionaje estratégico

Cuando se trata de actores de amenazas que trabajan para el gobierno de Corea del Norte, la mayoría de la gente ha oído hablar del Grupo Lazarus (APT38). Fue responsable del ataque a Sony Pictures en 2014, el robo cibernético de los fondos del Banco Central de Bangladesh en 2016 y el gusano ransomware WannaCry en 2017. Sin embargo, otro equipo, que los investigadores de seguridad denominan APT43, Kimsuky o Thallium, ha estado en el plomo desde que realizó operaciones de ciberespionaje y ciberdelincuencia en nombre del gobierno de Corea del Norte al menos en 2018.

APT43 se especializa en recolección de credenciales e ingeniería social con un enfoque en asuntos de política exterior y seguridad nuclear, asuntos alineados con los objetivos nucleares estratégicos de Corea del Norte. El grupo cambió temporalmente a objetivos verticales relacionados con la salud en 2021, lo que refleja el enfoque del régimen de Pyongyang en ese momento en la gestión de la pandemia de COVID-19. Desde 2022, APT43 ha estado apuntando a los llamados canales diplomáticos de vía dos, incluidos grupos religiosos, universidades, organizaciones no gubernamentales, periodistas, académicos, blogueros y activistas de derechos humanos.

«Las prioridades de recolectar APT43 se alinean con la misión de la Oficina General de Reconocimiento (RGB), la principal agencia de inteligencia extranjera de Corea del Norte», dijeron investigadores de la firma de seguridad cibernética Mandiant, propiedad de Google. un nuevo informe. «Aunque el rango de objetivos general es amplio, el objetivo final de las campañas probablemente se centre en habilitar el programa de armas de Corea del Norte, incluida la recopilación de inteligencia sobre negociaciones internacionales, políticas de sanciones y relaciones exteriores y políticas internas de otros países, ya que pueden influir Las ambiciones nucleares de Corea del Norte».

Recolección de credenciales para respaldar campañas de phishing altamente específicas

No hay evidencia de que APT43 alguna vez haya utilizado exploits de día cero en sus operaciones como lo hacen otras APT patrocinadas por el gobierno, pero el grupo es muy experto en ingeniería social. Sus campañas de phishing basadas en correo electrónico están muy adaptadas a los intereses de sus víctimas y, a menudo, implican la suplantación de identidad o la construcción de personas altamente creíbles.

APT43 se ha hecho pasar por figuras clave en la industria de la seguridad y la defensa, así como por reporteros y analistas de think tanks para construir una relación con sus objetivos. A veces ni siquiera necesitan usar malware porque pueden extraer la información que les interesa a través de conversaciones por correo electrónico con la víctima. En un caso destacado por Mandiant, los operadores de APT43 se hicieron pasar por periodistas que trabajaban en una historia sobre algunas de las pruebas de misiles de Corea del Norte y lograron extraer un análisis estratégico de un académico.

El grupo también registra muchos dominios y crea muchos sitios web, a menudo utilizando información de identificación personal (PII) robada de personas reales en ciertas industrias para dar más credibilidad a los sitios web. También participan en actividades delictivas cibernéticas, específicamente robando y lavando criptomonedas para financiar su infraestructura.