گزارش‌های اخیر نشان می‌دهد که هکرهای وابسته به دولت کره شمالی (DPRK) از طریق حملات فیشینگ هدفمند (Spear-phishing)، در تلاش‌اند تا اطلاعاتی درباره وضعیت نیروهای خود در جنگ روسیه و اوکراین به دست آورند. این عامل تهدید (Threat Actor) با تمرکز بر حلقه‌های دولتی، سیاست‌گذاران و محیط‌های دانشگاهی در اوکراین، به دنبال جمع‌آوری داده‌های جاسوسی است.
زمینه عملیاتی و اهداف
کره شمالی در اکتبر ۲۰۲۴ با اعزام حدود ۱۴ تا ۱۵ هزار نیرو به خطوط مقدم، به روسیه در جنگ اوکراین پیوست. با این حال، به نظر می‌رسد پیوندهای اطلاعاتی میان مسکو و پیونگ‌یانگ کاملاً شفاف نیست. تحلیلگران معتقدند کره شمالی برای اینکه متوجه شود واقعاً در جبهه‌ها چه می‌گذرد و روسیه چه اطلاعاتی را پنهان می‌کند، مستقیماً سازمان‌های اوکراینی را هدف قرار داده است تا مواردی نظیر میزان تلفات نظامی، وضعیت اسرای جنگی و تخمین زمان پایداری اوکراین در جنگ را رصد کند.
تکنیک‌های مورد استفاده (TTPs)
بر اساس تحلیل‌های مرکز امنیتی Genians و شرکت Proofpoint، این کمپین که توسط گروه Kimsuky (یا گروه‌های مرتبط مانند TA406 و Konni) هدایت می‌شود، از روش‌های زیر بهره می‌برد:
- تکنیک Reply-Baiting: مهاجمان به جای ارسال ایمیل‌های حاوی بدافزار در اولین تماس، ابتدا پیام‌های خوش‌آمدگویی و دوستانه‌ای ارسال می‌کنند تا اعتماد هدف را جلب کرده و از سدهای امنیتی ایمیل عبور کنند.
- استفاده از فایل‌های LNK مخرب: پس از برقراری ارتباط، مهاجمان فایلی را تحت عنوان «دعوت‌نامه رسمی» ارسال می‌کنند. این فایل در واقع یک Shortcut (LNK) است که با استفاده از آیکون PDF و پسوند دوگانه (مثلاً
.pdf.lnk) استتار شده است. - زیرساخت‌های عمومی: برای میزبانی اسکریپت‌ها و دستورات، از سرویس‌های مخزن کد مانند GitHub و GitLab استفاده می‌شود.
- بهره‌گیری از هوش مصنوعی: گزارش‌ها حاکی از آن است که این گروه برای تولید محتوای ایمیل‌ها از مدل‌های زبانی بزرگ (LLMs) استفاده کرده است، هرچند اشتباهات ابتدایی (مانند ارسال لینک Zoom در دعوت‌نامه‌ای برای Google Meet) در حملات آن‌ها دیده می‌شود.
تحلیل ساختاری عامل تهدید
کارشناسان اشاره می‌کنند که گروه‌های کره شمالی لزوماً نوآور نیستند و اغلب زنجیره‌های سرایت (Infection Chain) را از سایر عامل‌های تهدید کپی می‌کنند. همچنین، تغییرات ساختاری در اداره کل شناسایی (RGB) کره شمالی در اوایل سال ۲۰۲۶ باعث شده است که مرز بین گروه‌های مختلف (مانند Lazarus و Kimsuky) کمرنگ شود و اپراتورها بین تیم‌های مختلف جابه‌جا شوند.
