گروه Kimsuky در چارچوب عملیاتی موسوم به Operation GitPower، حملاتی را علیه متخصصان حوزه‌های دیپلماسی، امنیت و سیاست‌های بین‌المللی در اوکراین سازماندهی کرده است.
جزئیات تاکتیک‌های حمله
- مهندسی اجتماعی: این عامل تهدید (Threat Actor) از حملات Spear Phishing استفاده می‌کند که در قالب دعوت‌نامه‌های کنفرانس‌های بین‌المللی یا درخواست‌هایی برای همکاری‌های تحلیلی طراحی شده‌اند تا قربانی را به پاسخ دادن ترغیب کنند.
- سوءاستفاده از پلتفرم‌های توسعه: در این عملیات، از پلتفرم‌های توسعه قانونی (مانند GitHub) برای توزیع بدافزار و استخراج اطلاعات (Exfiltration) استفاده شده است.
- تکنیک‌های توزیع: تحلیل‌ها نشان می‌دهد که از فایل‌های LNK مخرب و بدافزارهایی که در ظاهر نصب‌کننده نرم‌افزار Zoom هستند، برای نفوذ به سیستم‌ها استفاده شده است.
هدف و تحلیل استراتژیک
به نظر می‌رسد این حملات یک عملیات جاسوسی سایبری با حمایت دولتی باشد که هدف آن رصد پیشرفت‌های مربوط به همکاری‌های میان کره جنوبی و اوکراین است. این موضوع نشان‌دهنده تمرکز این گروه بر جمع‌آوری اطلاعات استراتژیک در محیط‌های حساس سیاسی است.
توصیه‌های امنیتی برای مراکز SOC
برای مقابله با این تهدید، توصیه می‌شود تیم‌های امنیتی اقدامات زیر را در اولویت قرار دهند:
- تقویت قابلیت‌های شناسایی EDR برای تشخیص رفتارهای مشکوک مرتبط با فایل‌های LNK.
- بهبود فرآیندهای Threat Hunting برای شناسایی استفاده‌های غیرعادی از PowerShell و ارتباطات مشکوک با دامین‌های GitHub.
- آموزش کاربران حساس در برابر متدهای جدید فیشینگ هدفمند.
