O grupo de hackers Kimsuky, patrocinado pelo estado norte-coreano, intensificou suas operações cibernéticas contra alvos militares e corporativos na Coreia do Sul durante março e abril de 2026. A organização utilizou táticas de engenharia social, como a criação de páginas falsas de instalação de software de segurança e de reuniões Webex, para enganar os usuários e distribuir malware.
Os ataques recentes envolveram a distribuição de um malware conhecido como HTTPSpy, disfarçado como instaladores de software de segurança sul-coreano. As páginas falsas ofereciam ferramentas de segurança, mas na verdade baixavam executáveis maliciosos que implantavam um payload DLL (“MemLoader.dll”) para estabelecer persistência e comunicação com um servidor de comando e controle (C2).
Em abril, uma página falsa do Cisco Webex foi usada para induzir vítimas a baixar um script que, ao ser executado, implantava um downloader intermediário. Este downloader, por sua vez, realizava verificações anti-análise e contatava um servidor C2 para obter o próximo estágio do malware, que incluía o trojan HTTPSpy.
Relatórios recentes destacam a evolução das técnicas de Kimsuky, incluindo o uso de túneis do Microsoft Visual Studio Code e ferramentas de monitoramento remoto como o DWAgent. As campanhas também empregaram linguagens de programação modernas, como Rust, para desenvolver novas variantes de malware, como HelloDoor e HttpMalice. Estas ferramentas são projetadas para coletar informações, estabelecer persistência e realizar reconhecimento em sistemas comprometidos.
As operações de Kimsuky afetaram diversos setores na Coreia do Sul, incluindo entidades públicas e privadas. O grupo tem como alvo organizações de defesa, governo e energia, utilizando uma variedade de métodos para infiltrar e extrair dados sensíveis. A capacidade de modificar o código-fonte original do malware permite que o grupo adapte suas ferramentas a diferentes alvos e ambientes.
Fonte:https://thehackernews.com/2026/05/kimsuky-deploys-httpspy-expands-arsenal.html
