Взлом Kimsuky: разоблачение хакеров КНДР

Известная северокорейская хакерская группа Kimsuky, долгие годы работавшая под покровом секретности, внезапно сама стала жертвой взлома. Некий человек, называющий себя не киберпреступником, а «художником», проник в их внутреннюю систему и выложил данные весом 8,9 ГБ на сайте сообщества Distributed Denial of Secrets. Это хранилище содержит журналы, наборы инструментов и сведения о цифровой инфраструктуре Kimsuky, предоставляя редкий доступ к подробно описанным тактикам, приемам и методам группы.

Среди обнаруженного: журналы фишинговых атак против Управления контрразведки Южной Кореи, список целевых доменов, архивы с исходным кодом официальной почтовой платформы Министерства иностранных дел Южной Кореи (включая интерфейс веб-почты, панели администраторов и дополнительные модули), список профессоров южнокорейских университетов, инструментарий для создания фишинговых сайтов, загрузчики Cobalt Strike и многое другое.

Kimsuky, прославившаяся электронным шпионажем, действует как подразделение, поддерживаемое государством КНДР. Ее первая активность зафиксирована в 2012 году. С тех пор коллектив провел множество атак на госструктуры, научные институты, аналитические центры и СМИ, особенно по вопросам Корейского полуострова, ядерной политики и международных отношений.

В сопроводительном письме неназванный взломщик с псевдонимом Saber / cyb0rg обвиняет Kimsuky в работе ради выгоды своих лидеров и исполнения политических поручений: «Kimsuky, ты не хакер. Тобой двигает не жажда знаний, а желание обогащать начальство и реализовывать их желания», — отмечается в письме. — «Ты крадешь у других ради своих, ставишь себя выше всех, и твоя мораль искажена. Ты взламываешь не ради высоких целей».

Хотя разоблачение увидели многие, эксперты считают, что повлиять радикально на Kimsuky оно не сможет: у группы обширные ресурсы государства. Тем не менее, сам факт раскрытия методов и инструментов может существенно замедлить их операции и вынудить менять подходы для новых кампаний.