Εκστρατεία Επίθεσης BabyShark

Ερευνητές στον τομέα της κυβερνοασφάλειας αποκάλυψαν συνεχείς και εξελισσόμενες επιθέσεις από τη βορειοκορεατική ομάδα χάκερ Kimsuky, η οποία χρησιμοποιεί μια περίτεχνη τακτική κοινωνικής μηχανικής γνωστή ως ClickFix για την εξάπλωση του κακόβουλου λογισμικού BabyShark. Αυτές οι εκστρατείες στοχεύουν ειδικούς εθνικής ασφάλειας και αξιοποιούν τόσο την ανθρώπινη εξαπάτηση όσο και την τεχνική μυστικότητα για να αποκτήσουν μακροπρόθεσμη πρόσβαση στα συστήματα των θυμάτων.

Στόχευση ειδικών με δολώματα ηλεκτρονικού “ψαρέματος” (spear-phishing)

Η ομάδα απειλών Kimsuky αναπτύσσει ενεργά email spear-phishing από τον Ιανουάριο του 2025, αρχικά εστιάζοντας σε ειδικούς εθνικής ασφάλειας της Νότιας Κορέας. Οι επιτιθέμενοι μεταμφιέζονται σε εκπροσώπους μιας νόμιμης γερμανόφωνης επιχειρηματικής έκδοσης και δελεάζουν τα θύματα με ψεύτικα αιτήματα για συνεντεύξεις. Αυτά τα email περιέχουν συνδέσμους προς κακόβουλα αρχεία RAR, τα οποία, μόλις ανοιχτούν, αναπτύσσουν ένα Visual Basic Script (VBS). Αυτό το σενάριο εκκινεί ένα αρχείο παραπλανητικού Google Docs για να φαίνεται νόμιμο, ενώ εκτελεί αθόρυβα κώδικα για να δημιουργήσει επιμονή μέσω προγραμματισμένων εργασιών και να κλέψει πληροφορίες συστήματος.

Παραπλανητικά Personas και Τροποποιημένες Παραλλαγές ClickFix

Μέχρι τον Μάρτιο του 2025, η Kimsuky κλιμάκωσε τις προσπάθειές της υποδυόμενη έναν υψηλόβαθμο αξιωματούχο εθνικής ασφάλειας των ΗΠΑ. Τα νέα email ηλεκτρονικού "ψαρέματος" (phishing) περιείχαν ένα PDF με μια λίστα με κατασκευασμένες ερωτήσεις για συναντήσεις και ξεγέλασαν τους παραλήπτες ώστε να εισαγάγουν έναν "κωδικό ελέγχου ταυτότητας" για πρόσβαση σε υποτιθέμενο ασφαλές περιεχόμενο. Αυτό αντιπροσωπεύει μια μετατόπιση στη μέθοδο ClickFix, από τη διόρθωση ψεύτικων σφαλμάτων στην εισαγωγή κωδικών, ενισχύοντας την ψευδαίσθηση της νομιμότητας.

Τον Απρίλιο του 2025, εμφανίστηκε μια άλλη παραλλαγή, αυτή τη φορά υποδυόμενη έναν Ιάπωνα διπλωμάτη και αναφερόμενη σε μια προτεινόμενη συνάντηση με τον Ιάπωνα πρέσβη στις ΗΠΑ. Η επίθεση χρησιμοποίησε και πάλι μια σελίδα-δόλωμα στα Έγγραφα Google για να καλύψει την εκτέλεση μιας ασαφούς εντολής PowerShell, επιτρέποντας τη συνεχή εξαγωγή δεδομένων και την ανάπτυξη ωφέλιμου φορτίου μέσω συνεχούς επικοινωνίας C2.

Χρησιμοποιώντας ψεύτικες πύλες εργασίας και αναδυόμενα παράθυρα ως όπλα

Σε μια πιο περίπλοκη εκδοχή, ο Kimsuky άρχισε να χρησιμοποιεί ψεύτικες ιστοσελίδες που παρίσταναν πύλες εργασίας στον τομέα της έρευνας στον τομέα της άμυνας. Αυτές οι ιστοσελίδες εμφάνιζαν ψεύτικες αγγελίες εργασίας οι οποίες, όταν έκαναν κλικ σε αυτές, ενεργοποίησαν αναδυόμενα παράθυρα τύπου ClickFix που παρότρυναν τους χρήστες να ανοίξουν το παράθυρο διαλόγου "Εκτέλεση" των Windows και να εκτελέσουν μια εντολή PowerShell.
Αυτή η εντολή έδωσε εντολή στους χρήστες να εγκαταστήσουν το Chrome Remote Desktop, δίνοντας στους εισβολείς πλήρη απομακρυσμένη πρόσβαση μέσω SSH μέσω του τομέα C2 kida.plusdocs.kro.kr. Μια λανθασμένη διαμόρφωση στον διακομιστή C2 αποκάλυψε εκτεθειμένα δεδομένα θυμάτων, τα οποία πιστεύεται ότι προέρχονται από παραβιασμένα συστήματα της Νότιας Κορέας. Επιπλέον, μια κινεζική IP που συνδεόταν με αυτήν την υποδομή περιείχε ένα αρχείο καταγραφής keylogging και ένα αρχείο ZIP Proton Drive που παρέδιδε το BabyShark μέσω μιας σύνθετης αλυσίδας πολλαπλών σταδίων.

Πρόσφατες καινοτομίες: Ψεύτικο CAPTCHA και ανάπτυξη AutoIt

Μόλις τον Ιούνιο του 2025, η Kimsuky άρχισε να εκμεταλλεύεται ψεύτικες σελίδες επαλήθευσης Naver CAPTCHA. Αυτές οι ψεύτικες σελίδες έδιναν οδηγίες στους χρήστες να επικολλήσουν εντολές PowerShell στο παράθυρο διαλόγου Εκτέλεση, εκτελώντας ένα σενάριο AutoIt που συνέλεγε ευαίσθητες πληροφορίες. Αυτό καταδεικνύει περαιτέρω την προσαρμοστική χρήση εργαλείων που βασίζονται σε σενάρια και κοινωνικής μηχανικής από την ομάδα για να διατηρήσει την παρουσία της σε περιβάλλοντα θυμάτων.

Επέκταση των μετώπων ηλεκτρονικού “ψαρέματος” (phishing): Ακαδημαϊκή μεταμφίεση και επιθέσεις HWP

Πέρα από το ClickFix, το Kimsuky έχει επίσης συνδεθεί με καμπάνιες ηλεκτρονικού "ψαρέματος" (phishing) που μεταμφιέζονται σε ακαδημαϊκή αλληλογραφία. Αυτά τα email φαίνεται να είναι αιτήματα για την αναθεώρηση μιας ερευνητικής εργασίας και περιλαμβάνουν ένα έγγραφο HWP που προστατεύεται με κωδικό πρόσβασης. Μόλις ανοιχτεί, το κακόβουλο έγγραφο αξιοποιεί ένα ενσωματωμένο αντικείμενο OLE για να εκτελέσει ένα σενάριο PowerShell. Αυτό το σενάριο διεξάγει λεπτομερή αναγνώριση συστήματος και αναπτύσσει το AnyDesk, ένα νόμιμο εργαλείο απομακρυσμένης επιφάνειας εργασίας, για να διατηρεί μόνιμη απομακρυσμένη πρόσβαση.

Βασικά Συμπεράσματα: Τακτικές και Τεχνικές με μια Ματιά

Οι επιθέσεις κοινωνικής μηχανικής της Kimsuky βασίζονται σε:

• Πλαστοπροσωπία αξιόπιστων προσώπων και ιδρυμάτων (δημοσιογράφων, διπλωματών, ακαδημαϊκών)
• Χρήση αρχείων-δολωμάτων (Έγγραφα Google, PDF, έγγραφα HWP) για την απόκρυψη κακόβουλης δραστηριότητας
• Χειραγώγηση χρηστών για την εκτέλεση εντολών PowerShell μέσω ψεύτικων σφαλμάτων, προτροπών ελέγχου ταυτότητας ή σελίδων CAPTCHA

Τα τεχνικά χαρακτηριστικά της καμπάνιας περιλαμβάνουν :

• Μόνιμη πρόσβαση μέσω προγραμματισμένων εργασιών και λογισμικού απομακρυσμένης πρόσβασης (AnyDesk, Chrome Remote Desktop)
• Πολυσταδιακή παράδοση του κακόβουλου λογισμικού BabyShark
• Χρήση εργαλείων αυτοματισμού που βασίζονται σε σενάρια, όπως το AutoIt
• Εκμεταλλευόμενες ευπάθειες υποδομής που εκθέτουν κλεμμένα δεδομένα θυμάτων

Συμπέρασμα: Μια συνεχώς εξελισσόμενη απειλή

Η καμπάνια BabyShark καταδεικνύει την ευελιξία της Kimsuky στην εξέλιξη των τεχνικών κοινωνικής μηχανικής και στην αξιοποίηση νόμιμου λογισμικού και δημόσιας υποδομής για κακόβουλους σκοπούς. Η στρατηγική ClickFix υπογραμμίζει τον τρόπο με τον οποίο οι απειλητικοί παράγοντες συνεχίζουν να εκμεταλλεύονται την ανθρώπινη συμπεριφορά όσο και τα τρωτά σημεία του συστήματος. Η επαγρύπνηση, οι πολυεπίπεδες στρατηγικές άμυνας και η εκπαίδευση των χρηστών παραμένουν κρίσιμες για τον μετριασμό των κινδύνων που θέτουν τέτοιοι εξελιγμένοι απειλητικοί παράγοντες.