Pesquisador da ENKI WhiteHat destaca estratégias avançadas do grupo Kimsuky em 2026

O grupo de ameaças persistentes avançadas (APT) Kimsuky, vinculado à Coreia do Norte, tem focado em garantir persistência em sistemas comprometidos, além de utilizar técnicas sofisticadas de spear-phishing, segundo apresentação do pesquisador Kim Yeong-un, da ENKI WhiteHat, durante a KCSCON 2026. O evento, realizado em 8 de setembro na Universidade Sejong, em Seul, reuniu cerca de 1.000 profissionais de segurança cibernética de instituições públicas, empresas financeiras, hospitais e universidades.

Kim destacou que o Kimsuky, ativo desde 2014, tem como principais alvos entidades militares, governamentais e públicas na Coreia do Sul, com o objetivo de roubar informações. Recentemente, o grupo passou a incorporar ataques que se disfarçam em fluxos de trabalho normais, como documentos legítimos e até videoconferências, tornando mais difícil a detecção.

Em um exemplo citado, os atacantes enviaram e-mails de spear-phishing personalizados, mantendo conversas prolongadas antes de enviar arquivos maliciosos disfarçados de atalhos (LNK) para documentos normais. Outra técnica envolveu a criação de páginas falsas de download de programas de segurança e de videoconferência, induzindo vítimas a instalar malware.

Após a invasão inicial, o Kimsuky utiliza métodos como agendamento de tarefas no Windows e registro de chaves de execução automática para manter acesso prolongado. Ferramentas legítimas, como Chrome Remote Desktop e AnyDesk, também foram exploradas para controle remoto, com scripts que ocultam sua presença na interface do usuário.

O grupo ainda emprega técnicas como a criação de contas de administrador ocultas e o uso de ferramentas de proxy para acesso remoto discreto. Ataques a navegadores, incluindo a instalação de extensões maliciosas no Chrome para roubar dados do Gmail, também foram relatados. Traços de código gerado por IA foram encontrados em alguns ataques, sugerindo que o Kimsuky está adotando tecnologias emergentes para acelerar o desenvolvimento de malware.

Plataformas legítimas como GitHub, GitLab e Codeberg foram usadas para hospedar scripts maliciosos e ferramentas de controle remoto. Ataques recentes não se limitaram à Coreia do Sul, com casos identificados no Japão e na Ucrânia, além de campanhas envolvendo documentos em coreano sobre temas de segurança relacionados à Coreia do Norte, China e Rússia.

Kim recomendou que as organizações verifiquem e-mails, links e anexos suspeitos, mesmo em conversas aparentemente legítimas. Além disso, é crucial inspecionar tarefas agendadas, registros de execução automática, instalações de programas de controle remoto e extensões de navegador não autorizadas para detectar persistência de atacantes.