Kimsuky si concentra sulla persistenza dei sistemi dopo il phishing mirato

Il gruppo di minacce avanzate persistenti noto come Kimsuky, attribuito alla Corea del Nord, ha modificato le proprie tattiche operative nel 2026 per concentrarsi sull'acquisizione di accesso persistente ai sistemi informatici delle vittime, superando la fase iniziale di intrusione tramite phishing mirato. Questa evoluzione è stata illustrata durante la conferenza di sicurezza informatica KCSCON 2026, tenutasi l'8 settembre presso il centro congressi dell'Università di Sejong a Seoul, dove hanno partecipato circa 1.000 professionisti della sicurezza e responsabili della protezione dei dati provenienti da enti pubblici, aziende e istituzioni finanziarie.

L'analisi presentata dal team di ricerca delle minacce di ENKI WhiteHat ha evidenziato che il gruppo Kimsuky utilizza tecniche di ingegneria sociale sofisticate per l'accesso iniziale. Gli attaccanti non inviano immediatamente allegati malevoli, ma stabiliscono prima una conversazione legittima con la vittima per costruire fiducia. Successivamente, viene inviato un file di collegamento malevolo che appare come un documento di lavoro standard. Sono state osservate anche tattiche che imitano i siti di download di software di sicurezza legittimi e pagine di accesso a videoconferenze falsificate, che mostrano errori di connessione della fotocamera per indurre l'utente a installare script dannosi mascherati da patch di sistema.

Dopo l'esecuzione iniziale del codice malevolo, il gruppo implementa meccanismi per mantenere l'accesso a lungo termine. Questo include la registrazione di attività pianificate di Windows e voci di avvio automatico nel registro di sistema, garantendo che il malware si riavvii dopo il riavvio del computer. Gli attaccanti sfruttano attivamente strumenti di controllo remoto legittimi, come Chrome Remote Desktop e AnyDesk, nascondendo le loro icone dalla barra delle applicazioni e dalla tray di sistema per eludere i controlli di sicurezza. Inoltre, vengono creati account amministratore nascosti e configurate regole del firewall per consentire l'accesso remoto tramite il protocollo RDP sulla porta 3389, spesso utilizzando proxy per mascherare l'origine delle connessioni.

L'analisi ha rivelato l'uso di servizi di hosting del codice legittimi, tra cui GitHub, GitLab e Codeberg, per ospitare script malevoli e dati rubati. In alcuni casi, i repository contenevano file e commit con nomi in lingua coreana. È stato inoltre identificato l'uso di estensioni del browser Chrome per esfiltrare informazioni da account Gmail, con tracce di codice generato tramite intelligenza artificiale generativa. Questo suggerisce che l'IA stia riducendo le barriere tecniche per gli attaccanti e accelerando lo sviluppo di varianti di malware.

Le attività del gruppo non si limitano alla Corea del Sud, con attacchi osservati anche contro obiettivi in Giappone e Ucraina, sebbene le operazioni contro le istituzioni sudcoreane continuino. I ricercatori consigliano alle organizzazioni di non limitarsi alla rilevazione dei file malevoli, ma di verificare la presenza di attività pianificate non autorizzate, estensioni del browser sconosciute e configurazioni di accesso remoto impreviste per identificare eventuali compromissioni persistenti.