תוכנת זדונית FPSpy
קבוצות איומים הקשורות לקוריאה הצפונית זוהו תוך שימוש בשני כלים שפותחו לאחרונה הידועים בשם KLogEXE ו-FPSpy. פעילות זו נקשרת לשחקן איום המכונה Kimsuky, המוכר גם בכינויים כגון APT43, ARCHIPELAGO, Black Banshee, Emerald Sleet (לשעבר תליום), Sparkling Fish, Springtail ו-Velvet Chollima. הכלים הטריים הללו מרחיבים את ערכת הכלים הניכרת ממילא של דגים נוצצים, ומשקפים את האבולוציה המתמשכת של הקבוצה ואת התחכום ההולך וגדל.
תוכן העניינים
שחקן איום מתוחכם הפועל למעלה מעשור
פעיל מאז 2012 לפחות, שחקן האיומים כונה 'מלך הדיוג בחנית' בשל יכולתו להערים על קורבנות להוריד תוכנות זדוניות על ידי שליחת מיילים שגורמים להיראות כאילו הם מגורמים מהימנים. ניתוח של חוקרים של התשתית של Kimsuki חשף שני קובצי הפעלה ניידים חדשים המכונים KLogEXE ו-FPSpy.
ידוע כי זני תוכנות זדוניות אלו מועברות בעיקר באמצעות התקפות דיוג בחנית. בהתבסס על המידע הזמין, נראה שהמפעילים המרושעים של הקמפיין הזה מעדיפים התקפות הנדסה חברתית בצורה של מיילים דיוג חנית שנשלחו ליעדיהם".
למיילים המעוצבים בקפידה יש שפה שנועדה לפתות את המטרות להוריד קובץ ZIP המצורף למייל. לעתים קרובות מעודדים את היעדים לחלץ קבצים פגומים, שעם ביצועם מפעילים את שרשרת ההדבקה - בסופו של דבר מספקים את זני הזדוניות הללו.
FPSpy מצויד ביכולות פולשניות רבות
מאמינים ש-FPSpy הוא גרסה של דלת אחורית שנחשפה לראשונה על ידי AhnLab בשנת 2022, המראה קווי דמיון לאיום שתועד על ידי Cybereason תחת השם KGH_SPY בסוף 2020. מעבר לרישום מפתחות, FPSpy נועד לאסוף פרטי מערכת, להוריד ולפרוס מטענים נוספים, לבצע פקודות שרירותיות ולסרוק כוננים, תיקיות וקבצים במערכת שנפרצה.
בינתיים, KLogExe, איום נוסף שזוהה לאחרונה, הוא עיבוד C++ של Keylogger מבוסס PowerShell בשם InfoKey, שסומן בעבר על ידי JPCERT/CC במסע פרסום של Kimsuky המכוון לישויות יפניות. כלי זה מצויד כדי ללכוד ולחלץ נתונים על יישומים פעילים, הקשות מקשים ותנועות עכבר במחשב המושפע.
קמפיין תקיפה ממוקד במיוחד
מומחי אבטחת סייבר זיהו קווי דמיון בקוד המקור של KLogExe ושל FPSpy, מה שמצביע על כך שהם כנראה פותחו על ידי אותו מחבר. בעוד שלקימסוקי יש היסטוריה של מיקוד לאזורים ומגזרים שונים, נראה שהקמפיין הספציפי הזה מתמקד בארגונים ביפן ובדרום קוריאה.
בהתחשב באופי הממוקד והסלקטיבי של פעולות אלו, החוקרים הגיעו למסקנה כי הקמפיין לא צפוי להיות נרחב. במקום זאת, נראה שהוא מוגבל לתעשיות ספציפיות ומוגבל בעיקר ליפן ודרום קוריאה.
