Группа хакеров Kimsuky, связанная с Северной Кореей, развернула изощренную многоступенчатую кампанию против южнокорейских активистов, военных и оборонных организаций. С марта по апрель 2025 года злоумышленники использовали комбинированную тактику, сочетающую соцсети, электронную почту и мессенджеры, чтобы внедрить шпионские программы серии AppleSeed. Эксперты Genians Security Center (GSC), проанализировавшие атаку, подтвердили: методы Kimsuky эволюционируют, становясь сложнее для обнаружения.
Описание
Операция началась с тщательной разведки через фейковые аккаунты в Facebook*. Под видом исследователей церковных миссий или выпускников Военно-воздушной академии Кореи злоумышленники вступали в переписку с целями, интересовавшимися помощью северокорейским перебежчикам. Им предлагали «документы о волонтерской деятельности», которые на деле являлись запароленными архивами EGG - корейским форматом сжатия, редко проверяемым антивирусами. Если жертва проявляла интерес, атака переходила на новый уровень: через Messenger запрашивали email, а затем отправляли «уточняющие материалы» уже письмом. Финал схемы - переход в Telegram, где диалог казался максимально доверительным.
Вредоносная нагрузка демонстрирует хирургическую точность. Файл «탈북민지원봉사활동.jse» (Поддержка перебежчиков.jse) при запуске создает две сущности: безобидный PDF-документ для отвлечения внимания и DLL-библиотеку vmZMXSx.eNwm. Последняя, защищенная упаковщиком VMProtect, расшифровывает себя в памяти, проверяет параметры запуска и внедряет основную полезную нагрузку - tripservice.dll. Этот модуль действует как полноценный RAT (Remote Access Trojan): собирает системные данные, шифрует их гибридным методом (RSA + RC4), маскирует под PDF и отправляет на сервер woana.n-e[.]kr. Для устойчивости в реестр добавляется автозагрузка через regsvr32.exe, а следы удаляются batch-скриптами.
Почему это опасно?
- Мультиплатформенность: Атака охватывает три канала (Facebook → Email → Telegram), что затрудняет отслеживание.
- Локализация: Использование корейских форматов (EGG), рекомендаций по установке Bandizip и языковых нюансов (с намеренными опечатками) снижает подозрительность.
- Адаптивность: В 2024 году аналогичные схемы применялись через LinkedIn под видом военных исследователей.
- Стелс-технологии: Двойное Base64-кодирование, запуск через легитимные процессы (PowerShell, regsvr32), динамическая расшифровка в памяти обходят сигнатурные системы.
AppleSeed - лишь один инструмент в арсенале Kimsuky. С 2019 года группа использовала его в атаках на ВПК, криптобиржи и фармкомпании. Анализ PDB-путей (Program Database) в ранних версиях (Utopia_v0.1/0.2) подтверждает преемственность: строки «AppleSeed.pdb» встречаются в образцах 2019-2020 гг. Совпадения найдены и в скриптах: JSE-файлы из атак 2024-2025 гг. идентичны по структуре, что указывает на автоматизированную генерацию.
Тройная комбо-атака Kimsuky - напоминание: APT-группы инвестируют в социальную инженерию не меньше, чем в эксплойты. Их цель - не массовое заражение, точечный сбор данных. Традиционные антивирусы бессильны против кастомных шифровальщиков и файлов, собранных «на заказ». Только EDR с поведенческим анализом и Threat Hunting обеспечивают видимость таких угроз. Как отмечают в GSC, в апреле 2025 их система заблокировала AppleSeed на этапе запуска JSE-скрипта, доказав эффективность проактивного подхода.
Кибербезопасность начинается с осознания: даже PDF о «благотворительности» может оказаться трояном. Доверие - роскошь, которую нельзя позволить себе в цифровую эпоху.
* Организация Meta, а также её продукт Facebook, на который мы ссылаемся в этой статье, признаны экстремистскими на территории РФ.
Индикаторы компрометации
