O grupo de hackers Kimsuky, patrocinado pelo estado norte-coreano, intensificou suas atividades cibernéticas contra entidades militares e corporativas da Coreia do Sul entre março e abril de 2026. Utilizando táticas de engenharia social, o grupo criou páginas falsas de instalação de software de segurança e simulou reuniões no Webex para enganar as vítimas.
Os ataques recentes do Kimsuky envolveram a distribuição de uma variante de malware conhecida como HTTPSpy, disfarçada como instaladores de software de segurança sul-coreano. Em uma campanha, uma página falsa oferecia ferramentas de segurança, mas, na verdade, baixava executáveis maliciosos que se passavam por programas legítimos como nProtect Online Security e AhnLab Safe Transaction.
Os executáveis maliciosos lançam um payload DLL, estabelecendo persistência no sistema e se conectando a um servidor de comando e controle para receber novas cargas. Em outra campanha, uma página falsa do Webex induzia as vítimas a baixar um arquivo JSE criptografado, que, ao ser executado, ativava um downloader intermediário para buscar mais malware.
Além do HTTPSpy, o Kimsuky também utiliza ferramentas como o HelloDoor e o HttpMalice, variantes do malware PebbleDash, para realizar espionagem e controle remoto. O grupo tem explorado recursos do Visual Studio Code para estabelecer acesso remoto sem depender de canais tradicionais de comando e controle.
Os ataques do Kimsuky têm afetado setores públicos e privados na Coreia do Sul, além de organizações de defesa na Alemanha e no Brasil. O grupo continua a evoluir suas táticas, utilizando modelos de linguagem avançados e a linguagem de programação Rust para desenvolver suas ferramentas.
Fonte:https://thehackernews.com/2026/05/kimsuky-deploys-httpspy-expands-arsenal.html
