北朝鮮のハッカーは、韓国の共同作業用ソフトウェア(グループウェア)ベンダーを標的にし、その後これらサプライヤーの顧客への侵害に成功していたことが、脅威リサーチャーの調査で明らかになりました。
APT43としても知られるKimsuky集団によるこのキャンペーンは、2025年から2026年初頭にかけて実行されました。同集団は過去にも、韓国企業の社内インフラや政府機関を標的にしてきた実績があります。
韓国のサイバーセキュリティ企業ENKI WhiteHatの研究者が確認したある事例では、ハッカーは外部からアクセス可能なメールサーバーを経由してグループウェアベンダーに侵入し、リモートコード実行の脆弱性を突いてマルウェアを仕込んでいました。
別のベンダーについては、従業員に対するソーシャルエンジニアリングによって侵害され、その従業員のPCにリモートアクセスツールが仕込まれたことが侵入のきっかけになったと研究者は述べています。
特定されていない各ベンダーへの初期侵入に成功した後、Kimskyのハッカーは以前にも確認されているマルウェア「Gomir」に加え、新たな亜種も展開しました。彼らは「積極的に」内部を横方向に移動し、あるベンダーから顧客サーバーの情報を盗み出し、それを使ってそのベンダーの顧客企業を標的にすることができました。研究者は、侵害されたベンダーのSaaS顧客の1社が持つサーバー上にGomirがインストールされていることを検出しています。
ハッカーはまた、侵害したベンダーのログインページを改ざんし、従業員の認証情報を収集していました。ENKIは、多要素認証が導入されていなかったことが侵害の突破口になったと指摘しています。
Kimsukyは平壌(北朝鮮政府)の意を受けた情報収集キャンペーンを展開することで知られており、「政府機関、研究センター、シンクタンク、学術機関、報道機関に勤務する個人を標的にしたスピアフィッシング」を行ったとして、2023年に米国政府による制裁を受けています。AhnLab SEcurity Intelligence Centerの研究者は2024年、Kimsukyが韓国の中小企業をマルウェアで標的にしたキャンペーンを文書化しています。
翻訳元: https://therecord.media/kimsuky-north-korea-espionage-groupware-companies
