{"id":34387,"date":"2025-09-03T03:30:00","date_gmt":"2025-09-03T03:30:00","guid":{"rendered":"https:\/\/globalcyberalliance.org\/suivi-de-kimsuky-operations-despionnage-nord-coreennes-dans-laide-de-gca\/"},"modified":"2025-09-04T17:37:46","modified_gmt":"2025-09-04T17:37:46","slug":"suivi-de-kimsuky-operations-despionnage-nord-coreennes-dans-laide-de-gca","status":"publish","type":"post","link":"https:\/\/globalcyberalliance.org\/fr\/suivi-de-kimsuky-operations-despionnage-nord-coreennes-dans-laide-de-gca\/","title":{"rendered":"Suivi de Kimsuky : op\u00e9rations d’espionnage nord-cor\u00e9ennes dans l’AIDE de GCA"},"content":{"rendered":"\n

En pr\u00e9paration d’<\/em>APNIC60, o\u00f9 la directrice technique Leslie Daigle donnera une conf\u00e9rence d’ouverture<\/em><\/a>, nous publions une s\u00e9rie d’articles qui traitent de menaces r\u00e9gionalement significatives au-del\u00e0 des attaques d’origine chinoise bien document\u00e9es. Nous pr\u00e9sentons quatre campagnes distinctes li\u00e9es \u00e0 l’Asie bas\u00e9es sur des attaques observ\u00e9es directement dans AIDE ou confirm\u00e9es par la correspondance avec des rapports publics. Chaque cas offre une perspective diff\u00e9rente sur le paysage des menaces \u2014 allant des motivations g\u00e9opolitiques \u00e0 la perturbation financi\u00e8re et \u00e0 l’espionnage cibl\u00e9. Notre objectif est de fournir du contexte, d’\u00e9lever les perspectives r\u00e9gionales et de pr\u00e9parer le terrain pour une discussion plus approfondie lors de la conf\u00e9rence principale. Il s’agit du deuxi\u00e8me article de la s\u00e9rie ; nous avons pr\u00e9c\u00e9demment examin\u00e9 l’ <\/em>APT36<\/em><\/a> bas\u00e9 au Pakistan.<\/em><\/p>\n\n

Introduction<\/strong><\/h2>\n\n

Kimsuky est largement \u00e9valu\u00e9 dans les rapports de sources ouvertes, notamment par CISA<\/a> et MITRE<\/a>, comme \u00e9tant associ\u00e9 \u00e0 l’activit\u00e9 d’espionnage cybern\u00e9tique nord-cor\u00e9enne. Certaines sources de renseignement sur les menaces caract\u00e9risent le groupe comme dirig\u00e9 par l’\u00c9tat ; cependant, cette attribution est bas\u00e9e sur une analyse externe plut\u00f4t que sur une confirmation directe par nos recherches. Kimsuky aurait employ\u00e9 des techniques de collecte de renseignements mondiales telles que l’ing\u00e9nierie sociale, l’hame\u00e7onnage cibl\u00e9 et des familles de logiciels malveillants personnalis\u00e9s incluant BabyShark et AppleSeed. Le groupe cible principalement les diplomates, les chercheurs et les instituts politiques<\/a> en Cor\u00e9e du Sud, au Japon et aux \u00c9tats-Unis. <\/p>\n\n

Pour \u00e9valuer l’activit\u00e9 de Kimsuky sur une p\u00e9riode de deux ans (janvier 2023\u2013ao\u00fbt 2025), nous avons examin\u00e9 les mod\u00e8les d’activit\u00e9 cybern\u00e9tique en Asie-Pacifique via la plateforme AIDE<\/a> de Global Cyber Alliance. AIDE a commenc\u00e9 avec des pots de miel bas\u00e9s sur SSH et Telnet dans 55 pays (~200 capteurs). En novembre 2024, elle a transitionn\u00e9 vers la technologie ProxyPot d\u00e9velopp\u00e9e par GCA, maintenant d\u00e9ploy\u00e9e dans ~200 capteurs dans 25 pays et couvrant SSH, Telnet, FTP, SFTP, HTTP\/HTTPS et SMTP. Ce r\u00e9seau distribu\u00e9 r\u00e9v\u00e8le que Kimsuky op\u00e8re via une empreinte d’h\u00e9bergement<\/a> mondiale diverse, utilisant des services d’infrastructure de plateformes cloud, de fournisseurs de t\u00e9l\u00e9communications et de fournisseurs de services Internet dans le monde entier pour mener des op\u00e9rations de reconnaissance ciblant la r\u00e9gion Asie-Pacifique. <\/p>\n\n

Notre analyse montre des capteurs d\u00e9tectant une activit\u00e9 suspecte align\u00e9e avec les indicateurs de compromission (IoC) et les tactiques, techniques et proc\u00e9dures (TTP) connus de Kimsuky, d\u00e9montrant les op\u00e9rations de reconnaissance mondiales sophistiqu\u00e9es du groupe.<\/p>\n\n

Informations sur les donn\u00e9es d’AIDE<\/strong><\/h2>\n\n

D\u00e9tection de signature d’agent utilisateur<\/strong><\/h3>\n\n

L’une des d\u00e9couvertes les plus significatives de notre analyse \u00e9tait l’apparition r\u00e9p\u00e9t\u00e9e d’une cha\u00eene d’agent utilisateur Internet Explorer 11 (IE11) distincte dans le trafic de commande et contr\u00f4le (C2) : \u00ab Mozilla\/5.0 (Windows NT 6.1; WOW64; Trident\/7.0; rv:11.0) like Gecko. \u00bb Cette signature a \u00e9t\u00e9 constamment document\u00e9e dans les campagnes Kimsuky et sert d’indicateur fiable pour les op\u00e9rations de chasse aux menaces. Selon les avis de cybers\u00e9curit\u00e9 conjoints de CISA<\/a> et du FBI<\/a>, cette cha\u00eene d’agent utilisateur sp\u00e9cifique est un IoC bien \u00e9tabli pour les op\u00e9rations Kimsuky. La persistance de cette signature de navigateur h\u00e9rit\u00e9 sugg\u00e8re que le groupe continue de s’appuyer sur des mod\u00e8les d’infrastructure \u00e9tablis. <\/p>\n\n

\"Figure
Figure 1 :<\/em><\/strong> La distribution des signatures d’agent utilisateur d\u00e9tect\u00e9es sur les capteurs AIDE, soulignant la pr\u00e9valence de la signature IE11 dans le trafic suspect\u00e9 de Kimsuky.<\/em><\/figcaption><\/figure>\n\n

<\/p>\n\n

Distribution g\u00e9ographique de l’infrastructure d’attaque<\/strong><\/h3>\n\n

Les capteurs AIDE ont d\u00e9tect\u00e9 des attaques attribu\u00e9es \u00e0 Kimsuky provenant d’infrastructures h\u00e9berg\u00e9es dans plusieurs pays (\u00e9conomies), r\u00e9v\u00e9lant l’empreinte d’h\u00e9bergement mondiale diverse exploit\u00e9e par cet acteur de menace pour les op\u00e9rations de reconnaissance (Figure 2<\/strong>).<\/p>\n\n

Les donn\u00e9es d\u00e9montrent l’utilisation strat\u00e9gique par Kimsuky d’une infrastructure d’h\u00e9bergement mondiale<\/a>, avec les services bas\u00e9s au Panama montrant le plus grand volume d’activit\u00e9, suivis par l’infrastructure h\u00e9berg\u00e9e aux \u00c9tats-Unis. Bien que les pays d’Asie-Pacifique apparaissent comme sources d’attaque, la d\u00e9pendance substantielle \u00e0 l’infrastructure non-APAC \u2014 particuli\u00e8rement le Panama, les \u00c9tats-Unis, le Royaume-Uni et l’Allemagne \u2014 indique la pr\u00e9f\u00e9rence du groupe pour l’utilisation d’h\u00e9bergement offshore<\/a> pour obscurcir leurs op\u00e9rations et compliquer les efforts d’attribution. <\/p>\n\n

Cette distribution g\u00e9ographique s’aligne avec les rapports externes sur la campagne \u00ab forceCopy<\/a> \u00bb 2024 de Kimsuky, qui notait leur utilisation strat\u00e9gique de n\u0153uds VPS offshore pour \u00e9viter les suppressions. <\/p>\n\n

\"Figure
Figure 2 :<\/em><\/strong> Distribution d’h\u00e9bergement offshore avec le Panama comme principale source de trafic attribu\u00e9 \u00e0 Kimsuky.<\/em><\/figcaption><\/figure>\n\n

<\/p>\n\n

Mod\u00e8les d’activit\u00e9 de logiciels malveillants<\/strong><\/h3>\n\n

AIDE a captur\u00e9 des tentatives de connexion r\u00e9p\u00e9t\u00e9es li\u00e9es \u00e0 BabyShark et AppleSeed \u2014 des familles de logiciels malveillants longtemps associ\u00e9es \u00e0 la reconnaissance et \u00e0 la persistance de Kimsuky. Leur pr\u00e9sence sur nos capteurs montre une d\u00e9pendance continue aux cha\u00eenes d’outils \u00e9tablies et une pr\u00e9paration pour des intrusions plus larges : <\/p>\n\n