Sinasamantala ng grupong Konni ng Hilagang Korea ang Google Find Hub at KakaoTalk para burahin ang laman ng mga telepono at magkalat ng malware sa Timog Korea

Paano ginamit ng mga operatiba ng Hilagang Korea laban sa mga South Korean ang mga pinagkakatiwalaang app

Nagsagawa ang mga operatiba ng cyber na sinuportahan ng estado ng Hilagang Korea ng isang koordinadong kampanya na ginawang daluyan ng mga pag-atake ang mga pang-araw-araw na tool, ayon sa mga imbestigador sa forensics sa Timog Korea. Ninakaw ng grupo, na iniuugnay sa kumpol na Konni ng mga aktor na konektado sa Pyongyang, ang mga kredensyal ng Google account, malayuang kinontrol ang mga Android phone at tablet sa pamamagitan ng serbisyong Find Hub ng Google, at pagkatapos ay inagaw ang mga KakaoTalk account para magkalat ng malware sa mga totoong contact network. Inilarawan ito ng mga mananaliksik bilang unang kumpirmadong kaso kung saan kinompromiso ng isang operasyong may kaugnayan sa Hilagang Korea ang mga Google account upang malayuang kontrolin ang mga smart device gamit ang mga built-in na function ng pamamahala.

Ayon sa mga security analyst sa Genians Security Center, nagpanggap muna bilang mga opisyal sa buwis ang mga umaatake upang makapagtanim ng malware. Matapos ang panahong tahimik na pagmamanman, nag-log in ang mga nanghihimasok sa mga ninakaw na Google account. Sa pamamagitan ng Find Hub, isang tool para sa kaligtasan ng mga mamimili na nagpapahintulot sa mga may-ari na hanapin at protektahan ang mga nawawalang device, sinubaybayan nila ang lokasyon ng mga telepono at nag-utos ng malayuang pag-reset sa mga ito sa factory settings. Nabura ng pag-reset ang personal na datos at pansamantalang pinatahimik ang mga alerto, isang kondisyong nakatulong para magtagumpay ang susunod na yugto.

Dahil hindi makatanggap ng mga tawag at abiso ang mga target, lumipat ang operasyon sa desktop client ng KakaoTalk na nanatiling naka-sign in. Gamit ang pangalan ng mga biktima at ang pinagkakatiwalaang kasaysayan ng kanilang mga chat, nagpadala ang mga umaatake ng mga mapaminsalang file na nagkunwaring mga programa para maibsan ang stress sa mga contact list. Dahil sa paraang ito, kumalat ang malware sa pamamagitan ng tiwala sa mga kakilala at natagalan ang pagkakatuklas dito dahil hindi makapasok sa kanilang mga account ang maraming biktima o abala silang bawiin ang kanilang mga telepono.

Sinabi ng Google na inabuso ng aktibidad ang wastong pag-access sa mga account at lehitimong feature, hindi ang isang kahinaan sa Android o Find Hub. Hinihikayat ng kompanya ang mga user na paganahin ang two-step verification o mga passkey at, para sa mga indibidwal na mataas ang panganib, magpatala sa Advanced Protection.

Ano ang nangyari sa mga pag-atake

Naganap ang operasyon sa magkakaugnay na yugto na pinagsama ang mga pang-akit sa email, pagnanakaw ng account, cloud-based na pagkontrol sa mga device, at pag-abuso sa messenger. Isa itong halimbawa ng pag-asa ng umaatake sa mga serbisyong nakapaloob na sa mga device, kung saan nagiging kasangkapan nila ang mga built-in na serbisyo at pinagkakatiwalaang app. Ipinakikita ng dalawang insidenteng idinetalye ng mga imbestigador, kabilang ang mga kasong naganap noong Setyembre 5 at Setyembre 15, kung gaano kabilis makapagkalat ng malware ang paraang ito sa mga personal at propesyonal na ugnayan matapos makompromiso ang iisang account.

Hakbang 1: Spear phishing at unang pagpasok

Nagsimula ang panghihimasok sa mga naka-target na mensaheng nagkunwaring mula sa National Tax Service ng Timog Korea. Nahikayat ang mga biktima na buksan ang mga attachment o installer na mukhang lehitimo, kabilang ang mga file na naka-package bilang mga pirmadong MSI installer. Palihim na naglunsad ang mga file na ito ng mga script na nagpanatili ng malware sa sistema at nag-download ng mga remote access tool. Nakakita ang mga analyst ng mga pamilya ng malware na nagbibigay ng ganap na kontrol sa mga Windows system, kabilang ang Lilith RAT, Remcos RAT, Quasar RAT, at RftRAT, gayundin ng mga loader na nakabatay sa AutoIt. Nagsagawa ng rekonesans ang malware, nangalap ng mga kredensyal na nakaimbak sa browser, at nagmonitor ng aktibidad upang ihanda ang kapaligiran para sa pagnanakaw ng account.

Kabilang sa mga target ang mga taong nagtatrabaho kasama ang mga tumakas mula sa Hilagang Korea at mga tagapagtaguyod ng karapatang pantao. Inilarawan sa ilang pang-akit ang mga file bilang mga kapaki-pakinabang na programa para maibsan ang stress. Sa pag-angkop ng mensahe sa tungkulin at mga alalahanin ng tatanggap, pinalaki ng mga umaatake ang posibilidad na buksan ang file, na nagbigay naman sa kanila ng unang daan para mapasok ang personal na computer.

Hakbang 2: Pag-agaw ng account at maling paggamit sa Find Hub

Matapos maipasok ang malware, ninakaw ng mga operatiba ang mga kredensyal ng mga account sa mga serbisyong gaya ng Google at Naver. Gamit ang mga ninakaw na Google login, pinasok nila ang Find Hub. Pinahihintulutan ng serbisyo ang mga may-ari ng device na alamin ang huling alam na lokasyon ng isang telepono at mag-utos gaya ng pagpapalabas ng tunog o pag-reset ng device sa factory settings. Ginamit ng mga nanghihimasok ang pagtatanong sa lokasyon upang tiyaking hindi aktibong ginagamit ng target ang telepono, saka nila iniutos ang malayuang pag-reset. Nakakita rin ang mga imbestigador ng mga palatandaan na sa ilang kaso ay binura ng mga umaatake ang mga email ng alerto sa seguridad at nilinis ang mga laman ng basurahan ng mailbox upang pagtakpan ang kanilang mga bakas. Ilang beses silang nag-utos ng pag-reset upang hadlangan ang pagbawi at bawasan ang ebidensiya sa telepono.

Matapos i-reset ang isang device, hindi na makikita ng may-ari ang mga bagong abiso, kabilang ang mahahalagang mensahe mula sa mga contact na nagtatanong tungkol sa mga kahina-hinalang file. Inalis din ng pag-reset ang mga palatandaang maaaring maglantad sa panghihimasok, kaya nagkaroon ng panahon ang mga umaatake na isagawa ang susunod na hakbang mula sa ibang device na naka-log in pa rin sa mga account ng biktima.

Hakbang 3: Ginawang megaphone ng malware ang KakaoTalk

Halos lahat sa Timog Korea ay gumagamit ng KakaoTalk, at maraming user ang nananatiling naka-sign in sa desktop session nila. Matapos i-reset ang mga mobile device, lumipat ang mga umaatake sa PC client ng KakaoTalk ng mga biktima upang mabilis na mamahagi ng mga mapaminsalang file. Ipinadala ang mga mensahe gamit ang totoong pangalan at litrato sa profile ng biktima, kadalasan ay may maikling tala at kalakip na file. Binuksan ng mga tatanggap na nagtitiwala sa nagpadala ang file, na nag-install ng malware at nagpalawak sa bilang ng mga nakompromisong makina. Sa isang kaso, naipadala ang mga mensahe sa mahigit 30 contact sa loob lamang ng ilang minuto. Sa isa pa, malawakang sabay-sabay na ipinamahagi ang mga file mula sa ibang nakompromisong account makalipas ang sampung araw.

Sino ang nasa likod ng kampanya

Iniuugnay ang aktibidad sa kumpol na Konni, isang network ng cyber espionage na konektado sa Hilagang Korea at may pagkakapatong sa mga entity na malawakang tinutukoy bilang Kimsuky at APT37. Iba-iba ang pangalang ginagamit ng mga security vendor para sa parehong mga operatiba o sa mga grupong malapit ang ugnayan sa kanila, kabilang ang Earth Imp, Opal Sleet, Osmium, TA406, at Vedalia. Nagbabahagi ang mga pangkat na ito ng imprastraktura at mga tool sa mga kampanyang tumatarget sa mga ahensiya ng pamahalaan, institusyong pang-edukasyon, media, lipunang sibil, at mga komunidad ng cryptocurrency sa Timog Korea.

Matagal nang nagta-target ng mga mobile device ang mga operatiba ng Hilagang Korea. Halimbawa, naidokumento ng mga mananaliksik ang Android spyware na nagkukunwaring mga utility o security app at may kakayahang magrekord ng audio, kumuha ng mga screen, at maglabas ng mga file. Naiiba ang kasalukuyang kampanya dahil inaabuso nito ang pamamahala ng device batay sa account upang burahin ang mga telepono, saka agad lumilipat sa desktop messenger session para magpakalat pa. Ipinahihiwatig ng kombinasyong ito ang mahusay na koordinasyon sa maraming platform sa halip na iisang uri lang ng malware na kumikilos nang mag-isa.

Bakit mahalagang pagbabago ang pag-abuso sa Find Hub

Sa loob ng maraming taon, pinagsasama ng mga grupong konektado sa Hilagang Korea ang pasadyang malware, mga ninakaw na kredensyal, at mga lehitimong tool. Mas pinalalala ng pag-abuso sa Find Hub ang banta dahil nagagawa nitong gawing pambura ng data at kasangkapan sa paglilihis ng atensyon ang isang feature para sa kaligtasan ng mga mamimili. Pinapahina ng pag-reset ang paggana ng telepono, binubura ang mga bakas ng datos na may kaugnayan sa espiyahe, at pinatatahimik ang mga babala sa ibang paraan ng komunikasyon sa mismong oras na pinakamahalaga ang mga ito. Nagbubukas ito ng pagkakataon para gamitin ang naka-log-in na desktop session sa mabilisang pamamahagi ng malware.

Pinahihirap din ng paraang ito ang pagtugon sa insidente. Nawawala sa pag-reset ang ilang datos sa pagsubaybay at ebidensiyang nasa telepono. Nahahati ang mahahalagang bakas ng aktibidad sa pagitan ng device, cloud account, at desktop client. Kailangang mangalap ng mga tagapagtanggol ng datos mula sa tatlong ito upang lubos na mabuo muli ang pagkakasunod-sunod ng mga pangyayari. Inilarawan ng mga analyst ng Genians ang paraang ito bilang isang mahalagang pagbabago sa mga operasyong konektado sa Hilagang Korea na may mataas na kakayahan.

Sa ulat tungkol sa kaso, isinulat ng Genians Security Center:

Hindi pa nagkakaroon ng ganitong kombinasyon ng pagpapahinto sa paggana ng device at pagpapalaganap sa pamamagitan ng account sa mga naunang kilalang senaryo ng APT na itinataguyod ng estado.

Epekto sa mga biktima at pinsala sa kanilang buhay

Hindi basta-basta pumili ng mga target ang mga nanghihimasok. Ayon sa mga imbestigador, na-reset ang telepono ng isang psychological counselor na sumusuporta sa mga estudyanteng tumakas mula sa Hilagang Korea noong Setyembre 5. Sa loob ng maikling panahon, ginamit ang KakaoTalk account ng counselor upang magpadala sa mga kliyente ng file na may label na programa para maibsan ang stress. Nang buksan ito ng ilang tatanggap, nahawahan ang kanilang mga makina. Sinamantala ng pagpili sa messenger at sa mensahe ang tiwala at pagiging angkop nito sa buhay ng mga tatanggap.

Makalipas ang sampung araw, nakaranas ng katulad na pangyayari ang isang aktibista para sa karapatang pantao na nakatuon sa Hilagang Korea. Malayuang ni-reset ang Android device nila sa pamamagitan ng Find Hub, saka nagpadala ang KakaoTalk account ng aktibista ng mga mapaminsalang file sa 36 na kakilala. Sa dalawang kaso, hindi makatanggap ng mga tawag o alerto ang mga telepono ng mga biktima sa mahahalagang unang oras, kaya naantala ang mga babala mula sa mga contact na naghinalang may mali.

Nabura sa ilang biktima ang mga litrato, dokumento, contact, at mga materyales sa trabaho dahil sa pag-reset. Nakakita rin ang mga imbestigador ng mga module ng malware sa mga nahawaang PC na kayang kontrolin ang webcam at mikropono. Nagdulot ito ng pangamba na maaaring ginamit ang mga kamera upang tiyakin kung pisikal na naroon ang mga biktima bago iutos ang pag-reset. Kaharap na ng mga taong nagtatrabaho kasama ang mga tumakas mula sa Hilagang Korea at mga grupong panlipunang sibiko sa Timog Korea ang mga natatanging panganib. Ipinakikita ng kampanya kung paano maaaring gamitin laban sa kanila ang pang-araw-araw na digital na buhay, na may personal at propesyonal na kapalit.

Mga tugon ng mga eksperto at opisyal

Nagbukas ng mga imbestigasyon ang pulisya ng Timog Korea sa dalawang insidente noong Setyembre. Sinabi ng mga analyst na tumutugma ang code at mga teknik sa mga pattern na dating iniuugnay sa mga grupong nakahanay sa Hilagang Korea. Hinimok ng mga imbestigador ang mga posibleng target, kabilang ang mga counselor at aktibista, na masusing suriin ang kanilang mga desktop at mobile device kung may nakompromisong account.

Binigyang-diin ng mga security team na hindi kinailangang samantalahin ng mga umaatake ang isang depekto sa programming ng Android o Find Hub. Kailangan lang nila ng mga wastong kredensyal at access sa mga pinagkakatiwalaang app. Iminumungkahi ng mga mananaliksik na magdagdag ang mga service provider ng real-time na beripikasyon para sa mahahalagang aksiyon gaya ng malayuang pag-reset, at magbigay ang mga messenger ng mas matitinding babala o pagkaantala kapag nagtangkang magpadala ang isang desktop client ng mga executable file sa maraming contact sa maikling panahon.

Paano protektahan ang iyong mga Google at KakaoTalk account

Umasa ang kampanya sa mga ninakaw na login, mga desktop session na nananatiling bukas, at mga feature na karaniwang pinagkakatiwalaan ng mga user. Makababawas sa panganib at makapagpapahirap sa pag-abuso sa account ang mga sumusunod na hakbang:

• I-on ang two-step verification para sa iyong Google account. Mas piliin ang mga passkey o security key. Dapat magpatala sa Google’s Advanced Protection Program ang mga taong mas mataas ang panganib, gaya ng mga aktibista at mamamahayag.
• Buksan ang mga setting ng Google Account at patakbuhin ang Security Checkup. Alisin ang mga hindi kilalang device at session. Bawiin ang access ng mga third-party app na hindi mo nakikilala. Suriin ang recovery phone at email.
• Tingnan ang Find Hub o mga setting ng Find My Device upang makita ang listahan ng mga device na nakakonekta sa iyong account. Tiyaking kilala mo ang bawat device. Tiyaking naka-lock ang bawat isa gamit ang malakas na PIN at kinakailangan ang iyong pagpapatotoo bago magsagawa ng malayuang pag-reset.
• Suriin ang seguridad ng iyong email. Hanapin sa Gmail ang mga kahina-hinalang filter, panuntunan sa pagpapasa, o ipinagkaloob na access. Kung minsan ay nagdaragdag ang mga umaatake ng mga panuntunang nagtatago ng mga alerto.
• Iwasang mag-save ng mga password sa browser sa mga pinagsasaluhan o hindi pinamamahalaang PC. Gumamit ng mapagkakatiwalaang password manager na nagla-lock gamit ang master password o security key.
• Panatilihing updated ang Android, Windows, macOS, at KakaoTalk. Suriin sa mga setting ng KakaoTalk kung aling mga PC ang naka-sign in sa iyong account at mag-sign out sa mga hindi mo nakikilala.
• Maging mapanuri sa mga hindi inaasahang file o installer ng app, kahit mula pa sa mga pinagkakatiwalaan mong contact. Kumpirmahin sa pamamagitan ng pagtawag sa nagpadala sa ibang paraan ng komunikasyon bago magbukas ng anumang file.
• Panatilihin ang mga offline backup ng mahahalagang litrato at dokumento. Hindi maaapektuhan ng pag-reset ang panlabas na backup na hindi nakakonekta kapag hindi ginagamit.
• Paganahin ang mga alerto sa pag-login at basahing mabuti ang mga ito. Kung makatanggap ka ng kahina-hinalang alerto, huwag i-click ang mga link dito. Sa halip, direktang pumunta sa mga setting ng account sa isang bagong browser session at suriin ang aktibidad.

Mga agarang hakbang kung sa palagay mo ay tinarget ka

• Mula sa malinis na device na kontrolado mo, palitan ang mga password mo sa Google at KakaoTalk. Pagkatapos, paganahin ang two-step verification o mga passkey.
• Buksan ang Google Account, suriin ang mga kamakailang kaganapan sa seguridad, at mag-sign out sa lahat ng iba pang session. Bawiin ang mga token ng app na hindi mo nakikilala.
• Sa Gmail, alisin ang mga kahina-hinalang filter o panuntunan sa pagpapasa. Sa KakaoTalk, piliting mag-sign out ang lahat ng PC at pahintulutan muli ang mga ginagamit mo lamang.
• Kung ni-reset ang iyong telepono, ituring itong bagong device. Bago mag-restore, palitan ang mga password ng iyong account at beripikahin ang impormasyon sa pagbawi. Mag-restore lamang mula sa mga pinagkakatiwalaang backup.
• Babalaan ang iyong mga contact na maaaring mapaminsala ang mga mensaheng galing sa iyo. Sabihin sa kanilang huwag buksan ang mga natanggap na file at magsagawa ng security scan.
• Panatilihin ang ebidensiya hangga't maaari. Huwag burahin ang laman ng iyong PC. Kumuha ng mga screenshot ng mga log ng kahina-hinalang aktibidad, saka makipag-ugnayan sa lokal na yunit laban sa cybercrime o sa isang pinagkakatiwalaang security team.

Ano ang dapat gawin ngayon ng mga organisasyon

Dapat ipalagay ng mga organisasyong may mga kawani sa Timog Korea, o may kaugnayan sa gawaing may kinalaman sa Hilagang Korea, na kaakit-akit silang target. Mababawasan ang panganib at bibilis ang pagtugon sa pamamagitan ng nakatuong programang pinagsasama ang seguridad ng identidad at pagmamanman sa mga endpoint.

• Atasan ang lahat ng account sa Google Workspace at identity provider na gumamit ng multi-factor authentication. Gumamit ng mga paraang lumalaban sa phishing gaya ng mga passkey o hardware security key.
• Patibayin ang seguridad ng mga browser at huwag paganahin ang awtomatikong pag-save ng password sa mga hindi pinamamahalaang kapaligiran. Maglaan sa mga kawani ng password manager na pangnegosyo ang antas.
• Magpatupad ng endpoint detection and response na may mga panuntunang nakabatay sa gawi para sa mga AutoIt launcher, maling paggamit ng MSI script, at mga kilalang pamilya ng RAT kabilang ang Lilith RAT, Remcos RAT, Quasar RAT, at RftRAT.
• Harangin o i-quarantine ang mga executable attachment at MSI installer mula sa mga panlabas na nagpadala sa email at messenger gateway hangga't maaari.
• Subaybayan ang mga cloud audit log para sa kahina-hinalang pagkilos, kabilang ang aktibidad ng malayuang pag-reset at paulit-ulit na pagtatanong sa lokasyon sa pamamagitan ng mga serbisyo sa pamamahala ng device na konektado sa mga account ng user.
• Magsagawa ng regular na phishing simulation na iniangkop sa mga lokal na pang-akit gaya ng mga abiso mula sa ahensiya sa buwis. Magbigay ng pagsasanay sa mga kawani kung kailan nila ito kailangan, lalo na sa mga humahawak ng sensitibong gawain kasama ang mga tumakas at aktibista.
• Magtatag ng mabilisang gabay sa pagtugon sa pag-agaw ng account na sumasaklaw sa mga Google account, desktop client ng KakaoTalk, at pag-reset ng mga mobile device. Sanayin ang mga kawani sa gabay sa pamamagitan ng mga tabletop exercise.
• Gumawa ng paraan para maiulat ng mga contact ang mga kahina-hinalang mensahe at file na tila nagmula sa inyong mga kawani. Ituring na prayoridad ang mga ulat na ito.

Sa Madaling Sabi

• Iniuugnay ng mga imbestigador sa kumpol na Konni na nakahanay sa Hilagang Korea ang isang bagong kampanya laban sa mga South Korean.
• Ninakaw ng mga umaatake ang mga kredensyal sa Google, ginamit ang Find Hub upang subaybayan at i-reset sa factory settings ang mga Android device, saka inabuso ang mga desktop session ng KakaoTalk para magkalat ng malware sa mga contact.
• Kabilang sa mga kaso ang isang counselor para sa mga estudyanteng tumakas mula sa Hilagang Korea at isang aktibista para sa karapatang pantao. Naipadala ang mga mensaheng may malware sa mahigit 30 contact sa isang insidente at sa 36 naman sa isa pa.
• Gumamit ang operasyon ng spear phishing na nagkunwaring mula sa National Tax Service, mga pirmadong MSI installer, AutoIt script, at mga remote access tool kabilang ang Lilith RAT, Remcos RAT, Quasar RAT, at RftRAT.
• Ayon sa mga mananaliksik, ito ang unang kumpirmadong kaso ng paggamit ng aktor na konektado sa Hilagang Korea ng mga nakompromisong Google account upang mag-utos sa mga device nang malayuan sa pamamagitan ng Find Hub.
• Ayon sa Google, inabuso ng aktibidad ang mga lehitimong feature ng account at mga ninakaw na kredensyal, hindi ang isang depekto sa Android o Find Hub, at hinihikayat nito ang paggamit ng two-step verification o mga passkey.
• Nag-iimbestiga ang pulisya sa Timog Korea at inirerekomenda ng mga security team ang mas matibay na proteksiyon sa identidad, pagpapatibay ng seguridad ng mga device, at maingat na pagberipika sa mga file na natatanggap sa pamamagitan ng mga messenger.
• Dapat magpatala sa Advanced Protection ang mga user na mataas ang panganib, siyasatin ang mga naka-log-in na Google at KakaoTalk device, at magpanatili ng mga offline backup upang malimitahan ang pinsalang dulot ng pag-reset.