Kumpulan Konni Korea Utara menyalahgunakan Google Find Hub dan KakaoTalk untuk memadam telefon dan menyebarkan perisian hasad di Korea Selatan

Bagaimana ejen Korea Utara menjadikan aplikasi yang dipercayai sebagai senjata terhadap rakyat Korea Selatan

Pengendali siber yang disokong negara Korea Utara melancarkan kempen terselaras dengan menjadikan alat harian sebagai saluran serangan, menurut penyiasat forensik di Korea Selatan. Kumpulan itu, yang dikaitkan dengan kelompok Konni, rangkaian pelaku yang berpihak kepada Pyongyang, mencuri kelayakan akaun Google, mengambil alih kawalan telefon dan tablet Android dari jauh melalui perkhidmatan Find Hub milik Google, kemudian merampas akaun KakaoTalk untuk menyebarkan perisian hasad melalui rangkaian kenalan sebenar. Para penyelidik menyifatkannya sebagai kes pertama yang disahkan apabila operasi yang dikaitkan dengan Korea Utara menceroboh akaun Google untuk mengawal peranti pintar dari jauh menggunakan fungsi pengurusan terbina dalam.

Penganalisis keselamatan di Genians Security Center berkata penyerang pada mulanya menyamar sebagai pegawai cukai untuk memasang perisian hasad. Selepas tempoh pemantauan senyap, penceroboh log masuk ke akaun Google yang dicuri. Melalui Find Hub, alat keselamatan pengguna yang membolehkan pemilik mencari dan melindungi peranti yang hilang, mereka menjejak lokasi telefon dan mengarahkan tetapan semula kilang dari jauh. Tindakan itu memadam data peribadi dan menyenyapkan amaran buat sementara waktu, sekali gus membantu peringkat serangan seterusnya berjaya.

Dengan sasaran tidak dapat menerima panggilan dan pemberitahuan, operasi itu beralih kepada klien desktop KakaoTalk yang masih log masuk. Dengan menggunakan nama mangsa dan sejarah perbualan yang dipercayai, penyerang menghantar fail berniat jahat yang disamarkan sebagai program melegakan tekanan kepada senarai kenalan. Taktik itu membolehkan perisian hasad merebak melalui kepercayaan sosial dan melambatkan pengesanan kerana ramai mangsa terkunci daripada akaun atau sibuk memulihkan telefon mereka.

Google menyatakan bahawa kegiatan itu menyalahgunakan akses akaun yang sah dan ciri yang sah, bukannya kelemahan dalam Android atau Find Hub. Syarikat itu menggesa pengguna mengaktifkan pengesahan dua langkah atau kunci laluan dan, bagi individu berisiko tinggi, mendaftar dalam Advanced Protection.

Perkara yang berlaku dalam serangan

Operasi itu berlaku dalam beberapa peringkat yang menggabungkan umpan e-mel, kecurian akaun, kawalan peranti berasaskan awan dan penyalahgunaan aplikasi pesanan. Ini contoh penyerang menggunakan sumber sedia ada, iaitu apabila perkhidmatan terbina dalam dan aplikasi yang dipercayai dijadikan alat penyerang. Dua insiden yang diperincikan oleh penyiasat, termasuk kes pada 5 September dan 15 September, menunjukkan betapa pantas pendekatan itu boleh menyebarkan perisian hasad dalam lingkungan peribadi dan profesional selepas satu akaun diceroboh.

Langkah 1: Pancingan data tersasar dan pencerobohan awal

Pencerobohan bermula dengan mesej tersasar yang menyamar sebagai Perkhidmatan Cukai Negara Korea Selatan. Mangsa dipujuk untuk membuka lampiran atau pemasang yang kelihatan sah, termasuk fail dalam bentuk pemasang MSI bertandatangan. Di sebalik tabir, fail itu melancarkan skrip yang mewujudkan akses berterusan dan memuat turun alat akses jauh. Penganalisis mengesan beberapa keluarga perisian hasad yang memberikan kawalan penuh terhadap sistem Windows, termasuk Lilith RAT, Remcos RAT, Quasar RAT dan RftRAT, serta pemuat berasaskan AutoIt. Perisian hasad itu menjalankan peninjauan, mengumpul kelayakan yang disimpan dalam pelayar dan memantau aktiviti, sekali gus menyediakan persekitaran untuk mencuri akaun.

Sasaran termasuk individu yang bekerja dengan pembelot Korea Utara dan pejuang hak asasi manusia. Sesetengah umpan disamarkan sebagai program bantuan untuk melegakan tekanan. Dengan menyesuaikan mesej mengikut peranan dan kebimbangan penerima, penyerang meningkatkan kemungkinan fail dibuka, lalu mendapat tapak untuk menceroboh komputer peribadi.

Langkah 2: Pengambilalihan akaun dan penyalahgunaan Find Hub

Selepas memasang perisian hasad, pengendali mencuri kelayakan akaun untuk perkhidmatan seperti Google dan Naver. Dengan menggunakan maklumat log masuk Google yang dicuri, mereka mengakses Find Hub. Perkhidmatan itu membolehkan pemilik peranti menyemak lokasi terakhir telefon yang diketahui dan mengeluarkan arahan seperti membunyikan telefon atau menetapkan semula peranti kepada tetapan kilang. Penceroboh menggunakan semakan lokasi untuk memastikan sasaran tidak sedang menggunakan telefon secara aktif, kemudian mencetuskan tetapan semula dari jauh. Penyiasat turut menemui petunjuk bahawa dalam sesetengah kes, penyerang memadam e-mel amaran keselamatan dan mengosongkan folder sampah peti masuk untuk menutup jejak mereka. Beberapa arahan tetapan semula dikeluarkan bagi menyukarkan pemulihan dan mengurangkan bukti dalam telefon.

Selepas peranti ditetapkan semula, pemilik tidak dapat melihat pemberitahuan baharu, termasuk mesej penting daripada kenalan yang bertanya tentang fail mencurigakan. Pemadaman itu turut menghapuskan petunjuk yang boleh mendedahkan pencerobohan, sekali gus memberi masa kepada penyerang untuk melaksanakan langkah seterusnya daripada peranti lain yang masih log masuk ke akaun mangsa.

Langkah 3: KakaoTalk sebagai saluran penyebaran perisian hasad

KakaoTalk digunakan hampir secara menyeluruh di Korea Selatan dan ramai pengguna membiarkan sesi desktop mereka kekal log masuk. Selepas telefon bimbit ditetapkan semula, penyerang beralih kepada klien PC KakaoTalk mangsa untuk menyebarkan fail berniat jahat dengan pantas. Mesej dihantar menggunakan nama sebenar dan foto profil mangsa, selalunya dengan nota ringkas dan lampiran. Penerima yang mempercayai pengirim membuka fail itu, lalu memasang perisian hasad dan menambah bilangan mesin yang diceroboh. Satu kes melibatkan mesej yang dihantar kepada lebih 30 kenalan dalam beberapa minit. Satu lagi melibatkan penyebaran meluas secara serentak daripada akaun lain yang diceroboh, sepuluh hari kemudian.

Siapa di sebalik kempen ini

Kegiatan itu dikaitkan dengan kelompok Konni, rangkaian pengintipan siber yang berpautan dengan Korea Utara dan bertindih dengan entiti yang lazim dijejaki sebagai Kimsuky dan APT37. Vendor keselamatan yang berbeza menggunakan nama berlainan untuk pengendali yang sama atau sekutu rapat, termasuk Earth Imp, Opal Sleet, Osmium, TA406 dan Vedalia. Pasukan ini berkongsi infrastruktur dan set alat dalam kempen yang menyasarkan badan kerajaan Korea Selatan, sektor pendidikan, media, masyarakat sivil dan komuniti mata wang kripto.

Pengendali Korea Utara mempunyai sejarah menyasarkan peranti mudah alih. Sebagai contoh, penyelidik telah mendokumentasikan perisian intip Android yang menyamar sebagai alat utiliti atau aplikasi keselamatan, dengan keupayaan merakam audio, menangkap skrin dan mengeluarkan fail. Perkara yang membezakan kempen ini ialah penyalahgunaan pengurusan peranti berasaskan akaun untuk memadam telefon, kemudian segera beralih kepada sesi aplikasi pesanan desktop untuk menyebarkannya dengan lebih lanjut. Gabungan ini menunjukkan penyelarasan matang merentas pelbagai platform, bukannya satu jenis perisian hasad bertindak sendirian.

Mengapa penyalahgunaan Find Hub menjadi titik perubahan

Selama bertahun-tahun, kumpulan yang dikaitkan dengan Korea Utara menggabungkan perisian hasad tersuai dengan kelayakan yang dicuri dan alat yang sah. Penyalahgunaan Find Hub meningkatkan risikonya kerana ciri keselamatan pengguna itu dijadikan alat pemadam jauh dan pengalih perhatian. Tetapan semula melumpuhkan telefon, memadam kesan data pengintipan dan menyenyapkan amaran melalui saluran lain pada saat amaran itu paling diperlukan. Ini membuka peluang untuk menggunakan sesi desktop yang masih log masuk bagi menyebarkan perisian dengan pantas.

Pendekatan itu turut menyukarkan tindak balas insiden. Sebahagian telemetri dan bukti yang tersimpan dalam telefon hilang selepas tetapan semula. Aktiviti berkaitan terbahagi antara peranti, akaun awan dan klien desktop. Pihak pertahanan perlu mengumpulkan data daripada ketiga-tiganya untuk membina semula urutan kejadian dengan lengkap. Penganalisis Genians menyifatkan kaedah itu sebagai titik perubahan bagi operasi canggih yang dikaitkan dengan Korea Utara.

Dalam laporan mengenai kes itu, Genians Security Center menulis:

Gabungan peneutralan peranti dan penyebaran melalui akaun ini belum pernah berlaku dalam senario APT tajaan negara yang diketahui sebelum ini.

Kesan terhadap mangsa dan beban yang ditanggung

Penceroboh tidak memilih sasaran secara rawak. Penyiasat berkata seorang kaunselor psikologi yang membantu pelajar pembelot Korea Utara mendapati telefonnya ditetapkan semula pada 5 September. Tidak lama kemudian, akaun KakaoTalk kaunselor itu digunakan untuk menghantar fail berlabel program melegakan tekanan kepada klien. Apabila beberapa penerima membukanya, komputer mereka dijangkiti. Pemilihan aplikasi pesanan dan kandungan mesej itu mengambil kesempatan daripada kepercayaan serta kesesuaian dengan kehidupan penerima.

Sepuluh hari kemudian, seorang aktivis hak asasi manusia yang menumpukan perhatian kepada Korea Utara mengalami perkara serupa. Peranti Androidnya ditetapkan semula dari jauh melalui Find Hub, kemudian akaun KakaoTalk aktivis itu menghantar fail berniat jahat kepada 36 kenalan. Dalam kedua-dua kes, telefon mangsa tidak dapat menerima panggilan atau amaran pada beberapa jam pertama yang penting, sekali gus melambatkan amaran daripada kenalan yang mengesyaki sesuatu tidak kena.

Bagi sesetengah mangsa, pemadaman itu menghapuskan foto, dokumen, kenalan dan hasil kerja. Penyiasat turut menemui modul perisian hasad dengan keupayaan mengawal kamera web dan mikrofon pada PC yang dijangkiti, sekali gus menimbulkan kebimbangan bahawa kamera mungkin digunakan untuk memeriksa sama ada mangsa berada di tempat kejadian sebelum arahan tetapan semula dikeluarkan. Individu yang bekerja dengan pembelot dan kumpulan masyarakat sivil di Korea Selatan sudah pun menghadapi risiko tersendiri. Kempen ini menunjukkan bagaimana kehidupan digital harian boleh digunakan untuk menyerang mereka, dengan kesan terhadap kehidupan peribadi dan kerjaya.

Respons pakar dan pihak berkuasa

Polis Korea Selatan telah membuka siasatan terhadap dua insiden pada September itu. Penganalisis berkata kod dan teknik tersebut sepadan dengan corak yang sebelum ini dikaitkan dengan kumpulan yang berpihak kepada Korea Utara. Penyiasat menggesa sasaran yang berpotensi, termasuk kaunselor dan aktivis, supaya menjalankan pemeriksaan menyeluruh terhadap persekitaran desktop dan mudah alih bagi mengesan pencerobohan akaun.

Pasukan keselamatan menegaskan bahawa penyerang tidak memerlukan kecacatan pengaturcaraan dalam Android atau Find Hub. Mereka hanya memerlukan kelayakan yang sah dan akses kepada aplikasi yang dipercayai. Para penyelidik mengesyorkan agar penyedia perkhidmatan menambah langkah pengesahan masa nyata untuk tindakan sensitif seperti tetapan semula dari jauh, dan aplikasi pesanan memberikan amaran atau kelewatan yang lebih tegas apabila klien desktop cuba menghantar fail boleh laksana kepada ramai kenalan dalam tempoh singkat.

Cara melindungi akaun Google dan KakaoTalk anda

Kempen itu bergantung pada maklumat log masuk yang dicuri, sesi desktop yang kekal aktif dan ciri yang biasanya dipercayai pengguna. Langkah berikut mengurangkan risiko dan menyukarkan penyalahgunaan akaun:

• Aktifkan pengesahan dua langkah untuk akaun Google anda. Utamakan kunci laluan atau kunci keselamatan. Individu berisiko tinggi seperti aktivis dan wartawan patut mendaftar dalam Program Advanced Protection Google.
• Buka tetapan Akaun Google dan jalankan Pemeriksaan Keselamatan. Alih keluar peranti dan sesi yang tidak dikenali. Batalkan akses pihak ketiga yang anda tidak kenali. Semak nombor telefon dan e-mel pemulihan.
• Semak tetapan Find Hub atau Find My Device untuk melihat senarai peranti yang dikaitkan dengan akaun anda. Pastikan anda mengenali setiap peranti. Pastikan setiap peranti dikunci dengan PIN yang kukuh dan tetapan semula dari jauh memerlukan pengesahan anda.
• Audit keselamatan e-mel anda. Cari penapis, peraturan pemajuan atau akses terdelegasi yang mencurigakan dalam Gmail. Penyerang kadangkala menambah peraturan untuk menyembunyikan amaran.
• Elakkan menyimpan kata laluan dalam pelayar pada PC yang dikongsi atau tidak diurus. Gunakan pengurus kata laluan bereputasi yang dikunci dengan kata laluan induk atau kunci keselamatan.
• Pastikan Android, Windows, macOS dan KakaoTalk sentiasa dikemas kini. Semak tetapan KakaoTalk untuk melihat PC yang log masuk ke akaun anda dan log keluar daripada mana-mana peranti yang tidak dikenali.
• Berwaspada terhadap fail atau pemasang aplikasi yang tidak diminta, walaupun daripada kenalan yang dipercayai. Hubungi pengirim melalui saluran lain untuk mengesahkannya sebelum membuka sebarang fail.
• Simpan sandaran luar talian bagi foto dan dokumen penting. Tetapan semula tidak akan menjejaskan sandaran luaran yang diputuskan sambungannya apabila tidak digunakan.
• Aktifkan amaran log masuk dan baca amaran itu dengan teliti. Jika anda menerima amaran mencurigakan, jangan klik pautan di dalamnya. Sebaliknya, pergi terus ke tetapan akaun melalui sesi pelayar baharu dan semak aktiviti.

Langkah segera jika anda mengesyaki diri menjadi sasaran

• Daripada peranti bersih yang anda kawal, tukar kata laluan Google dan KakaoTalk anda. Kemudian aktifkan pengesahan dua langkah atau kunci laluan.
• Buka Akaun Google, semak peristiwa keselamatan terkini dan log keluar daripada semua sesi lain. Batalkan sebarang token aplikasi yang tidak dikenali.
• Dalam Gmail, alih keluar penapis atau peraturan pemajuan yang mencurigakan. Dalam KakaoTalk, paksa log keluar daripada semua PC dan sahkan semula hanya peranti yang anda gunakan.
• Jika telefon anda telah ditetapkan semula, anggap ia sebagai peranti baharu. Sebelum memulihkannya, tukar kata laluan akaun dan sahkan maklumat pemulihan. Pulihkan data hanya daripada sandaran yang dipercayai.
• Maklumkan kenalan anda bahawa mesej daripada anda mungkin berniat jahat. Minta mereka jangan membuka fail yang diterima dan menjalankan imbasan keselamatan.
• Simpan bukti jika boleh. Jangan padam kandungan PC anda. Ambil tangkap layar log aktiviti yang mencurigakan, kemudian hubungi unit jenayah siber tempatan atau pasukan keselamatan yang dipercayai.

Perkara yang perlu dilakukan organisasi sekarang

Organisasi yang mempunyai kakitangan di Korea Selatan atau terlibat dalam kerja berkaitan Korea Utara patut menganggap diri mereka sebagai sasaran yang menarik. Program khusus yang menggabungkan keselamatan identiti dengan pemantauan titik akhir akan mengurangkan risiko dan mempercepat tindak balas.

• Wajibkan pengesahan berbilang faktor bagi semua akaun Google Workspace dan penyedia identiti. Gunakan kaedah tahan pancingan data seperti kunci laluan atau kunci keselamatan perkakasan.
• Tingkatkan keselamatan pelayar dan nyahaktifkan penyimpanan automatik kata laluan dalam persekitaran yang tidak diurus. Sediakan pengurus kata laluan gred perusahaan untuk kakitangan.
• Pasang pengesanan dan tindak balas titik akhir dengan peraturan berasaskan tingkah laku untuk pelancar AutoIt, penyalahgunaan skrip MSI dan keluarga RAT yang diketahui, termasuk Lilith RAT, Remcos RAT, Quasar RAT dan RftRAT.
• Sekat atau kuarantinkan lampiran boleh laksana dan pemasang MSI daripada pengirim luar pada gerbang e-mel dan aplikasi pesanan jika boleh.
• Pantau log audit awan untuk mengesan tindakan mencurigakan, termasuk aktiviti tetapan semula dari jauh dan semakan lokasi berulang melalui perkhidmatan pengurusan peranti yang dikaitkan dengan akaun pengguna.
• Jalankan simulasi pancingan data secara berkala yang disesuaikan dengan umpan tempatan seperti notis agensi cukai. Berikan latihan tepat pada masanya kepada kakitangan yang mengendalikan kerja sensitif bersama pembelot dan aktivis.
• Wujudkan panduan tindak balas pantas bagi pengambilalihan akaun yang merangkumi akaun Google, klien desktop KakaoTalk dan tetapan semula peranti mudah alih. Latih panduan itu melalui simulasi meja.
• Wujudkan saluran untuk kenalan melaporkan mesej dan fail mencurigakan yang kelihatan dihantar oleh kakitangan anda. Utamakan laporan tersebut.

Ringkasan

• Penyiasat mengaitkan kempen baharu terhadap rakyat Korea Selatan dengan kelompok Konni yang berpautan dengan Korea Utara.
• Penyerang mencuri kelayakan Google, menggunakan Find Hub untuk menjejak dan menetapkan semula peranti Android kepada tetapan kilang, kemudian menyalahgunakan sesi desktop KakaoTalk untuk menyebarkan perisian hasad kepada kenalan.
• Kes yang dilaporkan melibatkan seorang kaunselor kepada pelajar pembelot Korea Utara dan seorang aktivis hak asasi manusia. Mesej perisian hasad dihantar kepada lebih 30 kenalan dalam satu insiden dan 36 kenalan dalam satu lagi.
• Operasi itu menggunakan pancingan data tersasar yang menyamar sebagai Perkhidmatan Cukai Negara, pemasang MSI bertandatangan, skrip AutoIt dan alat akses jauh termasuk Lilith RAT, Remcos RAT, Quasar RAT dan RftRAT.
• Para penyelidik menyifatkannya sebagai kes pertama yang disahkan melibatkan pelaku yang dikaitkan dengan Korea Utara menggunakan akaun Google yang diceroboh untuk mengeluarkan arahan peranti dari jauh melalui Find Hub.
• Google berkata kegiatan itu menyalahgunakan ciri akaun yang sah dan kelayakan yang dicuri, bukannya kelemahan Android atau Find Hub, serta menggesa penggunaan pengesahan dua langkah atau kunci laluan.
• Polis di Korea Selatan sedang menyiasat, manakala pasukan keselamatan mengesyorkan perlindungan identiti yang lebih kukuh, pengukuhan keselamatan peranti dan pengesahan teliti terhadap fail yang diterima melalui aplikasi pesanan.
• Pengguna berisiko tinggi patut mendaftar dalam Advanced Protection, mengaudit peranti yang log masuk ke Google dan KakaoTalk serta menyimpan sandaran luar talian bagi mengehadkan kerosakan akibat tetapan semula.