L’acteur de menace li\u00e9 \u00e0 la Cor\u00e9e du Nord, connu sous le nom de Kimsuky, a \u00e9t\u00e9 li\u00e9 \u00e0 une nouvelle s\u00e9rie d’attaques ciblant le personnel universitaire, les chercheurs et les professeurs \u00e0 des fins de collecte de renseignements.<\/p>\n
Entreprise de cybers\u00e9curit\u00e9 Resilience dit<\/a> elle a identifi\u00e9 l’activit\u00e9 fin juillet 2024 apr\u00e8s avoir observ\u00e9 une erreur de s\u00e9curit\u00e9 op\u00e9rationnelle (OPSEC) commise par les pirates.<\/p>\n Kimsuky, \u00e9galement connu sous les noms d’APT43, ARCHIPELAGO, Black Banshee, Emerald Sleet, Springtail et Velvet Chollima, n’est qu’une des innombrables \u00e9quipes cybern\u00e9tiques offensives op\u00e9rant sous la direction du gouvernement et de l’arm\u00e9e nord-cor\u00e9ens.<\/p>\n Il est \u00e9galement tr\u00e8s actif, s’appuyant souvent sur des campagnes de spear-phishing comme point de d\u00e9part pour fournir un ensemble toujours plus \u00e9tendu d’outils personnalis\u00e9s permettant d’effectuer des reconnaissances, de voler des donn\u00e9es et d’\u00e9tablir un acc\u00e8s \u00e0 distance persistant aux h\u00f4tes infect\u00e9s.<\/p>\n Les attaques se caract\u00e9risent \u00e9galement par l’utilisation d’h\u00f4tes compromis comme infrastructure de pr\u00e9paration pour d\u00e9ployer une version obscurcie du shell Web Green Dinosaur, qui est ensuite utilis\u00e9e pour effectuer des op\u00e9rations sur les fichiers. L’utilisation du shell Web par Kimuksy \u00e9tait pr\u00e9c\u00e9demment mis en \u00e9vidence<\/a> par le chercheur en s\u00e9curit\u00e9 blackorbird en mai 2024.<\/p>\n L’acc\u00e8s offert par Green Dinosaur est ensuite utilis\u00e9 abusivement pour t\u00e9l\u00e9charger des pages de phishing pr\u00e9d\u00e9finies, con\u00e7ues pour imiter les portails de connexion l\u00e9gitimes de Naver et de diverses universit\u00e9s comme l’Universit\u00e9 Dongduk, l’Universit\u00e9 de Cor\u00e9e et l’Universit\u00e9 Yonsei, dans le but de capturer leurs informations d’identification.<\/p>\n Ensuite, les victimes sont redirig\u00e9es vers un autre site qui pointe vers un document PDF h\u00e9berg\u00e9 sur Google Drive qui pr\u00e9tend \u00eatre une invitation au forum d\u2019ao\u00fbt de l\u2019Asan Institute for Policy Studies. <\/p>\n \u00ab De plus, sur les sites de phishing de Kimsuky, il existe une bo\u00eete \u00e0 outils de phishing non cibl\u00e9e et sp\u00e9cifique pour collecter des comptes Naver \u00bb, ont d\u00e9clar\u00e9 les chercheurs de Resilience.<\/p>\n \u00ab Cette bo\u00eete \u00e0 outils est un proxy rudimentaire semblable \u00e0 Evilginx pour voler les cookies et les informations d’identification des visiteurs et affiche des fen\u00eatres contextuelles indiquant aux utilisateurs qu’ils doivent se reconnecter car la communication avec le serveur a \u00e9t\u00e9 interrompue. \u00bb<\/p>\n L’analyse a \u00e9galement mis en lumi\u00e8re une coutume PHPMailer<\/a> outil utilis\u00e9 par Kimsuky appel\u00e9 SendMail, qui est utilis\u00e9 pour envoyer des e-mails de phishing aux cibles utilisant les comptes Gmail et Daum Mail. <\/p>\n Pour lutter contre cette menace, il est recommand\u00e9 aux utilisateurs d\u2019activer l\u2019authentification multifacteur (MFA) r\u00e9sistante au phishing et d\u2019examiner les URL avant de se connecter.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/08\/Des-professeurs-duniversite-pris-pour-cible-par-un-groupe-de.png\")
<\/a><\/center><\/div>\n<\/a><\/center><\/section>\n