Grupa Kimsuky koncentruje się na utrzymywaniu dostępu do systemów

Podczas konferencji KCSCON 2026, która odbyła się 8 września w Seulu, przedstawiono analizę działań grupy hakerskiej Kimsuky. Badacze wskazali, że w 2026 roku ten podmiot skupia się na zapewnianiu sobie długotrwałego dostępu do systemów ofiar, wykraczając poza standardowe techniki początkowego włamania. Prezentację wygłosił badacz z centrum badawczo-rozwojowego firmy ENKI WhiteHat, omawiając najnowsze przypadki ataków i metody utrzymywania obecności w sieciach docelowych.

Grupa Kimsuky, po raz pierwszy zidentyfikowana w 2014 roku, jest uznawana za zaawansowane zagrożenie trwale obecne w sieciach, działające prawdopodobnie z poparciem północnokoreańskich służb. Głównymi celami ataków pozostają instytucje wojskowe, rządowe i publiczne w regionie. Badacze podkreślili, że atakujący wykorzystują zaufane, legalne narzędzia i usługi internetowe, co utrudnia wykrywanie zagrożeń przez tradycyjne systemy bezpieczeństwa oparte na analizie plików.

Początkowy etap ataku opiera się na precyzyjnie przygotowanych wiadomościach e-mail, skierowanych do konkretnych osób. Atakujący najpierw nawiązują kontakt, a następnie wysyłają pliki skrótu, które wyglądają jak zwykłe dokumenty biurowe. W niektórych przypadkach stosowano fałszywe strony do pobierania oprogramowania zabezpieczającego, aby skłonić użytkowników do instalacji złośliwego kodu. Wykorzystywano również fikcyjne serwisy do wideokonferencji, symulując błędy techniczne, które wymagały pobrania i uruchomienia złośliwego skryptu naprawczego.

Po uzyskaniu początkowego dostępu, atakujący wdrażają mechanizmy zapewniające powrót do systemu. Rejestrują zadania w planerze zadań systemu operacyjnego oraz modyfikują rejestr, aby złośliwy kod uruchamiał się automatycznie po restarcie komputera. Wykorzystują legalne narzędzia do zdalnego sterowania, takie jak Chrome Remote Desktop i AnyDesk, ukrywając ich aktywność przed użytkownikami i programami antywirusowymi. Utworzono również ukryte konta administratora i skonfigurowano systemy do akceptacji połączeń zdalnych na porcie 3389, często używając narzędzi pośredniczących do omijania bezpośrednich połączeń z zewnątrz.

Atakujący infekują również przeglądarki internetowe, instalując złośliwe rozszerzenia, które kradną dane z kont pocztowych. W kodzie tych rozszerzeń znaleziono ślady sugerujące użycie generatywnej sztucznej inteligencji do tworzenia złośliwego oprogramowania. Badacze zwrócili uwagę, że sztuczna inteligencja może obniżać próg wejścia dla hakerów i przyspieszać modyfikowanie ataków. Złośliwe skrypty i skradzione dane były przechowywane na publicznych platformach do hostowania kodu, takich jak GitHub, GitLab i Codeberg, co dodatkowo utrudnia ich identyfikację.

Zakres geograficzny ataków poszerzył się poza Koreę Południową. W tym roku odnotowano incydenty skierowane przeciwko celom w Japonii i Ukrainie, choć ataki na koreańskie instytucje nadal mają miejsce. Eksperci zalecają, aby organizacje nie ograniczały się do wyszukiwania złośliwych plików, ale również audytowały zadania zaplanowane, wpisy w rejestrze, zainstalowane narzędzia zdalnego dostępu oraz rozszerzenia przeglądarki, aby wykryć ślady utrzymywania dostępu.