O grupo de hackers Kimsuky, apoiado pelo Estado norte-coreano, intensificou suas operações cibernéticas contra alvos militares e corporativos na Coreia do Sul entre março e abril de 2026. Utilizando táticas de engenharia social, os invasores criaram páginas falsas de instalação de software de segurança e imitaram uma página de reunião do Webex, explorando agendas legítimas de reuniões para enganar as vítimas.
Os ataques recentes envolveram a distribuição de uma variante de malware conhecida como HTTPSpy, disfarçada como instaladores de softwares de segurança sul-coreanos. As vítimas, ao baixarem os arquivos “nos-setup.exe” e “astx-setup.exe”, acabavam executando um código malicioso que estabelecia persistência no sistema e se conectava a um servidor de comando e controle (C2) para receber cargas adicionais.
Em uma campanha observada em abril de 2026, uma página falsa do Cisco Webex foi utilizada para induzir as vítimas a baixar um arquivo ZIP contendo um script JavaScript criptografado. A execução desse script resultava na instalação de um downloader intermediário que, por sua vez, buscava o próximo estágio do malware.
O Kimsuky também tem explorado novas tecnologias, como o uso de túneis do Microsoft Visual Studio Code e modelos de linguagem de grande escala (LLMs), para aprimorar suas operações. Ferramentas como o DWAgent têm sido empregadas para atividades de pós-exploração, afetando diversos setores na Coreia do Sul.
Os ataques do Kimsuky não se limitam à Coreia do Sul. Malwares como PebbleDash e AppleSeed têm sido usados para atingir organizações de defesa no Brasil e na Alemanha. O grupo continua a adaptar suas técnicas, utilizando o recurso de tunelamento remoto do VS Code para acessar dispositivos das vítimas sem depender de canais tradicionais de C2.
Fonte:https://thehackernews.com/2026/05/kimsuky-deploys-httpspy-expands-arsenal.html
