Kimsuky cible la persistance dans ses attaques de 2026

Le groupe de cyberattaques nord-coréen Kimsuky concentre désormais ses efforts sur le maintien d'un accès permanent aux systèmes visés, au-delà de la simple phase d'infiltration initiale par hameçonnage ciblé. Cette évolution stratégique a été détaillée lors d'une présentation tenue le 8 septembre 2026 à la conférence KCSCON, qui s'est déroulée au centre de conventions de l'université Sejong à Séoul. L'événement, qui réunit les principaux acteurs de la sécurité informatique, a accueilli environ 1 000 professionnels de la protection des informations et de la vie privée, issus de secteurs variés tels que la finance, la santé, l'enseignement supérieur et les administrations publiques.

Lors de son intervention, le chercheur de l'équipe de recherche sur les menaces du centre R&D d'ENKI WhiteHat a analysé les méthodes récentes employées par Kimsuky. Ce groupe, actif depuis sa première identification en 2014, cible principalement les institutions militaires, gouvernementales et publiques en Corée du Sud pour y voler des informations. La présentation a mis en lumière la manière dont les attaquants exploitent les flux de travail habituels pour masquer leurs opérations et installer des mécanismes de persistance complexes.

Les techniques d'infiltration initiale ont évolué pour imiter fidèlement les échanges professionnels courants. Les attaquants envoient d'abord un message d'hameçonnage ciblé, puis engagent une conversation normale avec la victime avant de transmettre un fichier malveillant déguisé en raccourci. D'autres méthodes incluent la création de faux sites de téléchargement de logiciels de sécurité ou l'usurpation de services de visioconférence. Dans ce dernier cas, une fausse erreur de caméra est affichée, incitant l'utilisateur à installer un script de correction qui s'avère être un code malveillant. Une fois exécuté, le script redonne l'accès à l'interface normale de la visioconférence, rendant la détection de l'infection particulièrement difficile.

Après l'infiltration, le groupe met en place plusieurs mécanismes pour garantir un accès à long terme. Cela inclut l'enregistrement de tâches planifiées et de clés de registre d'exécution automatique sur les systèmes Windows. Les attaquants abusent également de logiciels légitimes de contrôle à distance, tels que Chrome Remote Desktop et AnyDesk, en masquant leurs icônes dans la barre des tâches et la zone de notification pour échapper aux détections. Des comptes administrateurs cachés sont créés et les pare-feu sont configurés pour autoriser le protocole RDP sur le port 3389, tandis que des outils de proxy permettent un accès interne sans connexion directe externe.

Les navigateurs web sont également utilisés comme vecteur d'attaque. Des extensions malveillantes pour Chrome ont été identifiées, servant à exfiltrer des données de messagerie. Des indices suggèrent que des outils d'intelligence artificielle générative ont pu être utilisés pour écrire ce code, ce qui pourrait accélérer le développement d'attaques et réduire les barrières techniques pour les cybercriminels. De plus, des services d'hébergement de code légitimes comme GitHub, GitLab et Codeberg sont exploités pour héberger des scripts malveillants et des données volées, avec parfois des noms de fichiers en coréen.

Bien que les attaques ciblent principalement la Corée du Sud, des cas visant le Japon et l'Ukraine ont également été observés cette année. Les experts recommandent aux organisations de ne pas se limiter à la détection des fichiers malveillants, mais de vérifier systématiquement la présence de tâches planifiées inconnues, de logiciels de contrôle à distance non autorisés et d'extensions de navigateur suspectes pour contrer ces stratégies de persistance.