O grupo de hackers Kimsuky, patrocinado pelo Estado norte-coreano, intensificou suas atividades cibernéticas contra entidades militares e corporativas sul-coreanas entre março e abril de 2026. Utilizando táticas de engenharia social, o grupo criou páginas falsas de instalação de software de segurança e de reuniões Webex para distribuir o malware conhecido como HTTPSpy.
Os ataques envolveram a criação de páginas fraudulentas que imitavam serviços legítimos, como um serviço de mensagens B2B sul-coreano, para enganar administradores de mensagens corporativas. Os usuários eram induzidos a baixar arquivos executáveis maliciosos que se disfarçavam como ferramentas de segurança conhecidas. Esses arquivos executavam um payload DLL que estabelecia comunicação com um servidor de comando e controle (C2).
Em abril de 2026, outra campanha usou uma página falsa do Webex para induzir vítimas a baixar um arquivo ZIP contendo um script JavaScript criptografado. Este script, ao ser executado, baixava e executava um malware de estágio intermediário que estabelecia contato com um servidor C2 para obter mais instruções.
Além do HTTPSpy, o Kimsuky também utilizou novas ferramentas como HelloDoor e HttpMalice, desenvolvidas em Rust, para expandir suas capacidades de ataque. Essas ferramentas permitem desde a execução de comandos até a captura de informações sensíveis dos sistemas comprometidos.
O grupo demonstrou uma evolução significativa ao adotar técnicas como o uso de túneis do Visual Studio Code e ferramentas de monitoramento remoto para manter o acesso aos sistemas comprometidos. Essas estratégias foram detalhadas pela Kaspersky, que destacou a capacidade do Kimsuky de modificar o código-fonte dos clusters de malware para atingir setores como defesa, governo e energia.
Fonte:https://thehackernews.com/2026/05/kimsuky-deploys-httpspy-expands-arsenal.html
