Kimsuky kompromittierte südkoreanische Softwareanbieter und griff anschließend deren Kunden an

Im Mittelpunkt der von ENKI WhiteHat beobachteten Kampagne stehen südkoreanische Anbieter von Kollaborations- und Groupware-Software. Laut den Forschern kompromittierte Kimsuky diese Unternehmen nicht nur direkt, sondern nutzte ihre Position auch, um anschließend auf deren Kunden überzugreifen. Die Aktivitäten werden auf 2025 und Anfang 2026 datiert.

ENKI WhiteHat beschreibt zwei verschiedene Angriffswege. In einem Fall verschafften sich die Angreifer über einen von außen erreichbaren Mailserver Zugang und installierten über eine Schwachstelle zur Remotecodeausführung Schadsoftware. Ein anderer Anbieter wurde nach Angaben der Forscher durch Social Engineering gegen einen Mitarbeiter kompromittiert; danach wurden Fernzugriffswerkzeuge auf dessen PC installiert.

Nach dem ersten Eindringen setzte Kimsuky die bereits bekannte Malware Gomir sowie neue Varianten ein. Die Gruppe bewegte sich nach Darstellung von ENKI WhiteHat „aggressiv“ seitlich durch die kompromittierten Umgebungen. Dabei gelang es ihr, bei einem Anbieter Serverinformationen von Kunden zu stehlen, um mit diesen Daten die Kunden des Unternehmens gezielt anzugreifen.

Dass dieser Übergang von der Kompromittierung eines Anbieters zur Kompromittierung von Kunden tatsächlich stattfand, stützen die Forscher mit einem konkreten Befund: Gomir wurde auf einem Server eines SaaS-Kunden eines der kompromittierten Anbieter entdeckt. Welche Unternehmen betroffen waren, nennt der Bericht nicht.

Zusätzlich manipulierten die Angreifer laut ENKI WhiteHat die Anmeldeseiten kompromittierter Anbieter. Das diente dazu, Zugangsdaten von Mitarbeitern abzugreifen. ENKI WhiteHat hebt hervor, dass das Fehlen einer Mehrfaktor-Authentisierung die Kompromittierung erleichtert habe.

Kimsuky ist auch unter der Bezeichnung APT43 bekannt. Die Gruppe ist dafür bekannt, Aufklärungskampagnen im Auftrag Pjöngjangs durchzuführen. Im Quelltext wird zudem darauf verwiesen, dass Kimsuky in der Vergangenheit bereits die Unternehmensinfrastruktur südkoreanischer Firmen sowie Regierungsstellen angegriffen hat.

Außerdem erinnert der Bericht an frühere öffentliche Einordnungen der Gruppe. Die US-Regierung belegte Kimsuky 2023 mit Sanktionen, weil die Gruppe „gezieltes Spear-Phishing gegen Personen einsetzte, die bei Regierungsstellen, Forschungszentren, Denkfabriken, akademischen Einrichtungen und Nachrichtenmedien beschäftigt sind“. Bereits 2024 dokumentierten Forscher des AhnLab SEcurity Intelligence Center eine Kimsuky-Kampagne, die sich mit Malware gegen kleine südkoreanische Unternehmen richtete.