Контакты
Подписка 2025
ТБ Форум 2025
Кибербезопасность. Защита АСУ ТП. Безопасность КИИ. Москва | 11 февраля | ТБ Форум 2025
Регистрируйтесь и приходите!

Новый северокорейский вредонос на языке Golang крадёт сертификаты GPKI у южных соседей

12/02/24

hack164-Feb-12-2024-10-32-06-5897-AM

В недавнем отчете южнокорейской компании S2W был раскрыт новый вид вредоносного программного обеспечения на основе языка Golang, получивший название Troll Stealer. Этот инструмент, который связывают с деятельностью северокорейской группы Kimsuky, специализируется на изъятии конфиденциальных данных с компьютеров жертв. Среди украденной информации — данные SSH и FileZilla, содержимое диска C, данные из браузеров, системная информация и снимки экрана, пишет Securitylab.

Связь Troll Stealer с Kimsuky была установлена на основе сходства с другими разработками этой группы — AppleSeed и AlphaSeed.

Сама Kimsuky известна под множеством наименований, включая APT43, ARCHIPELAGO, Black Banshee, Emerald Sleet, Nickel KimballиVelvet Chollima. Она уже долгое время находится в центре внимания экпертов, проводя сложные кибероперации по сбору разведданных в интересах Северной Кореи. Основной их фокус — государственные секреты, коммерческие и финансовые сведения, а также данные, касающиеся безопасности и обороны.

В ноябре 2023 года против Kimsuky были введены санкции Управлением по контролю за иностранными активами Минфина США.

По данным S2W, Troll Stealer распространяется с помощью дроппера, замаскированного под инсталлятор ПО от южнокорейской компании SGA Solutions. Интересно, что дроппер работает параллельно с самим вредоносом, причём оба файла подписаны валидным сертификатом компании D2Innovation Co.,LTD. Вероятно, сертификат был скомпрометирован.

Способность красть сертификаты GPKI, выдаваемые правительством Южной Кореи является отличительной чертой Troll Stealer. GPKI представляют собой цифровые удостоверения личности для использования электронных государственных сервисов. Так как ранее за Kimsuky подобного не замечали, это указывает либо на смену тактики, либо на то, что доступ к исходному коду вредоносного софта Kimsuky получила другая тесно связанная с ней хакерская группировка.

В пользу второй версии говорит обнаружение признаков связи Kimsuky с бэкдором GoBear, который также использует украденный сертификат D2Innovation. Функционал GoBear пересекается с другим бэкдором Kimsuky — BetaSeed. Однако GoBear, в отличие от предыдущих разработок группы, поддерживает технологию проксирования SOCKS5.

Темы:ПреступленияКНДРХакерские атакихищение данных
Безопасная разработка
Подходы и инструменты управления процессом разработки безопасного программного обеспечения
Регистрируйтесь и приходите! 13 февраля 2025
Статьи по темеСтатьи по теме

Участвуйте в проектах

редакции журнала
"Информационная безопасность" 

КАЛЕНДАРЬ МЕРОПРИЯТИЙ 2024
ПОСЕТИТЬ МЕРОПРИЯТИЯ
ВЫСТУПИТЬ НА КОНФЕРЕНЦИЯХ
СТАТЬ АВТОРОМ
ТБ Форум
Актуальные вопросы защиты информации
12 февраля 2025 | Организатор: ФСТЭК России

Еще темы...

More...