נחשפה פעילות סייבר עוינת נגד מטרות בדרום קוריאה

This post is also available in: English (אנגלית)

האם פעילי סייבר עוינים מצפון קוריאה מאיימים על השכנה החביבה בדרום?

צוות חקר אבטחת המידע במעבדת קספרסקי פירסם דו"ח חדש, המנתח קמפיין ריגול סייבר פעיל המכוון נגד גופי קביעת מדיניות בדרום קוריאה. הקמפיין, הפעיל תחת השם קימסוקי (Kimsuky), מוגבל בהיקפו וממוקד מאוד. לפי ניתוחים טכניים התוקפים כיוונו את ההתקפה נגד 11 ארגונים הממוקמים בדרום קוריאה ושני גופים בסין, בהם מכון Sejong, מכון קוריאה לניתוחי הגנה (KIDA), המשרד לאיחוד קוריאה של דרום קוריאה, יונדאי סחר ימי וארגון תומכים באיחוד קוריאה.

הסימנים המוקדמים ביותר לפעילות האיום מתוארכים ל– 3 באפריל, 2013, והדוגמה הראשונה של הסוס הטרויאני Kimusky נחשפה ב– 5 במאי 2013. תוכנת הריגול הלא מתוחכמת הזו כוללת מספר שגיאות בסיסיות בכתיבת הקוד, ומבצעת את התקשורת מהמחשבים הנגועים ואליהם דרך שרת דואר אלקטרוני חינמי (mail.bf) הפועל על רשת בולגרית.

למרות שהמכניקה הראשונית של הפעלת סוס הטרויאני עדיין אינה ידועה, החוקרים בקספרסקי מאמינים כי רוב הסיכויים שהקוד הזדוני קימוסקי חדר באמצעות התקפת פישינג ממוקדת, וכי יש לו את היכולת לבצע את פעילות הריגול הבאה: רישום לחיצות מקלדת, איסוף רישומי תיקיות, שליטה מרחוק, גניבת מסמכי HWP (המקושרים לאפליקציית עיבוד תמלילים דרום קוריאנית מחבילת האופיס Hancom, הנמצאת בשימוש מקיף על ידי הממשל המקומי). התוקפים משתמשים בגרסה מהונדסת של תוכנת השליטה מרחוק TeamViewer כדי ליצור דלת אחורית ולחטוף כל קובץ הנמצא במכשיר הנגוע.

iHLS -Israel Homeland Security

קימוסקי מכיל קוד זדוני ייעודי לגניבת קבצי HWP, דבר המצביע כי מסמכים אלה הם אחד היעדים המרכזיים של הקבוצה.

רמזים נוספים שנמצאו על ידי מומחי מעבדת קספרסקי מאפשרים להסיק כי מקור ההתקפה הוא מצפון קוריאה. ראשית, פרופיל המטרות מדבר בעד עצמו – אוניברסיטאות בדרום קוריאה המנהלות מחקר על יחסים בינלאומיים ומנסחות מדיניות בטחונית עבור גופי ממשל, חברת הספנות הלאומית, וקבוצות התומכות באיחוד קוריאה.

שנית, שורות קוד המכילות מילים קוריאניות (לדוגמא, חלק מהן ניתנות לתרגום לאנגלית כפקודות "התקפה" ו"השלמה").

שלישית, שתי כתובות דואר אלקטרוני – אליהן בוטים שולחים דוחות על סטטוס, ומשדרים נתונים על המערכות הנגועות – [email protected] ו– [email protected] – רשומות על שמות משתמשים קוריאנים. על אף שנתוני הרישום אינם מספקים הוכחה חותכת לגבי זהות התוקפים, כתובות מקור ה– IP של התוקפים מתאימים לפרופיל שלהם: ישנם 10 מקורות של כתובות IP, וכולם נמצאים בטווח של רשת מחוז ג'ילין ומחוז ליאונינג בסין. ספקי שירותי האינטרנט במחוזות אלה כנראה גם מספקים קווים לחלקים של צפון קוריאה.

מאפיין גיאו פוליטי מעניין נוסף של קימוסקי הוא ניטרול של כלי אבטחת מידע מ– AhnLab, חברת אבטחת מידע דרום קוריאנית. מוצרי מעבדת קספרסקי מזהים ומנטרלים איומים אלה כ– Trojan.Win32.Kimusky, ורכיבי קצה מהונדסים של TeamViewer מזוהים כ– Trojan.Win32.Patched.ps.