به گزارش کارگروه حملات سایبری خبرگزاری سایبربان، این کمپین از طریق دو روش حمله، به حسابهای گوگل قربانیان دسترسی پیدا میکند: آلوده شدن تلفنهای اندرویدی از طریق یک برنامه مخرب در فروشگاه گوگل پلی و دیگری، استفاده از یک برنامه افزودنی مخرب مرورگر وب کرومیوم.
گروه تهدید مداوم پیشرفته (APT) که نامهای بسیاری از جمله TA406 و تالیم دارد، از سال 2012 فعالیت میکند و عمدتاً دیپلماتها، سازمانهای غیردولتی، اتاقهای فکر و کارشناسان مسائل مربوط به شبه جزیره کره را هدف قرار میدهد.
این توصیه که روز دوشنبه توسط آژانس حفاظت از قانون اساسی آلمان و سرویس اطلاعات ملی جمهوری کره منتشر شده است، یک کمپین بسیار هدفمند با تمرکز بر قربانیان آشنا را توصیف می کند و می گوید:
سرویس اطلاعات ملی و آژانس حفاظت از قانون اساسی معتقدند که حمله هکری که توضیح داده شد، عمدتاً متخصصان شبه جزیره کره و کره شمالی را هدف قرار می دهد، اما از آنجایی که فناوری مورد استفاده در این حمله می تواند به طور جهانی مورد استفاده قرار گیرد، می توان از آن برای امور خارجی و نیز اندیشکدههای امنیتی در سراسر جهان و همچنین علیه افراد نامشخص، استفاده کرد.
گروه تهدید مداوم پیشرفته کره شمالی، کیمسوکی، مانند کمپین های قبلی، از حملات فیشینگ نیزه ای (spearphishing) برای دستیابی به دسترسی اولیه با جعل هویت مدیران و کاربران پورتال استفاده می کند. در برخی موارد، ایمیلها باعث نصب یک افزونه مخرب در مرورگرهای مبتنی بر کرومیوم می شود که بهطور خودکار فعال می گردد. هنگامی که قربانیان جیمیل را باز می کنند، این برنامه ایمیل های شخص را می دزدد و به سروری که متعلق به مهاجمان است، ارسال می کند.
در حمله دیگری، عوامل کیمسوکی یک برنامه مخرب را برای تست داخلی به کنسول فروشگاه گوگل پلی اضافه می کنند و به یک فرد هدف اجازه دسترسی به آن را می دهند. پس از دسترسی به اعتبار ورود به سیستم خود، طی یک حمله فیشینگ نیزه ای، آنها برنامه را از طریق حساب قربانی دانلود کرده که سپس با گوشی هوشمند اندرویدی آنها همگام سازی می شود.
بر اساس صحبت های کارشناسان، عوامل مخرب، هم ایمیل و هم داده های ذخیره شده در فضای ابری را سرقت می کنند.
در پی یک هشدار صادر شده در اکتبر 2020 در مورد این گروه توسط آژانس امنیت سایبری و زیرساخت ایالات متحده، کیمسوکی به عنوان گروهی که احتمالاً توسط رژیم کره شمالی مأموریت یافته است تا یک ماموریت جمع آوری اطلاعات جهانی را انجام دهد، شناسایی شده است. در برخی موارد، هکرها به عنوان خبرنگاران کره جنوبی ظاهر می شوند تا به اهداف دسترسی پیدا کنند.
