Контакты
Подписка 2024
DCAP и DLP
13 марта. Защита корпоративных данных: достаточно ли внедрить DCAP и DLP?
Представляйте решения на онлайн-конференции!

Новый северокорейский вредонос на языке Golang крадёт сертификаты GPKI у южных соседей

12/02/24

hack164-Feb-12-2024-10-32-06-5897-AM

В недавнем отчете южнокорейской компании S2W был раскрыт новый вид вредоносного программного обеспечения на основе языка Golang, получивший название Troll Stealer. Этот инструмент, который связывают с деятельностью северокорейской группы Kimsuky, специализируется на изъятии конфиденциальных данных с компьютеров жертв. Среди украденной информации — данные SSH и FileZilla, содержимое диска C, данные из браузеров, системная информация и снимки экрана, пишет Securitylab.

Связь Troll Stealer с Kimsuky была установлена на основе сходства с другими разработками этой группы — AppleSeed и AlphaSeed.

Сама Kimsuky известна под множеством наименований, включая APT43, ARCHIPELAGO, Black Banshee, Emerald Sleet, Nickel KimballиVelvet Chollima. Она уже долгое время находится в центре внимания экпертов, проводя сложные кибероперации по сбору разведданных в интересах Северной Кореи. Основной их фокус — государственные секреты, коммерческие и финансовые сведения, а также данные, касающиеся безопасности и обороны.

В ноябре 2023 года против Kimsuky были введены санкции Управлением по контролю за иностранными активами Минфина США.

По данным S2W, Troll Stealer распространяется с помощью дроппера, замаскированного под инсталлятор ПО от южнокорейской компании SGA Solutions. Интересно, что дроппер работает параллельно с самим вредоносом, причём оба файла подписаны валидным сертификатом компании D2Innovation Co.,LTD. Вероятно, сертификат был скомпрометирован.

Способность красть сертификаты GPKI, выдаваемые правительством Южной Кореи является отличительной чертой Troll Stealer. GPKI представляют собой цифровые удостоверения личности для использования электронных государственных сервисов. Так как ранее за Kimsuky подобного не замечали, это указывает либо на смену тактики, либо на то, что доступ к исходному коду вредоносного софта Kimsuky получила другая тесно связанная с ней хакерская группировка.

В пользу второй версии говорит обнаружение признаков связи Kimsuky с бэкдором GoBear, который также использует украденный сертификат D2Innovation. Функционал GoBear пересекается с другим бэкдором Kimsuky — BetaSeed. Однако GoBear, в отличие от предыдущих разработок группы, поддерживает технологию проксирования SOCKS5.

Темы:ПреступленияКНДРгосударственные хакерыхищение данных
Российские платформы виртуализации
21 марта. Российские платформы виртуализации: безопасность, производительность, совместимость
Участвуйте и представляйте решения!

Участвуйте в проектах

редакции журнала
"Информационная безопасность" 

КАЛЕНДАРЬ МЕРОПРИЯТИЙ 2024
ПОСЕТИТЬ МЕРОПРИЯТИЯ
ВЫСТУПИТЬ НА КОНФЕРЕНЦИЯХ
СТАТЬ АВТОРОМ
SOAR, IRP, SOC
14 марта. Автоматизация реагирования на инциденты по информационной безопасности
Участвуйте!

Еще темы...

More...