Oekraïense overheidsinstanties doelwit van Noord-Koreaanse cyberaanvallen
TA406, een door Noord-Korea gesponsorde dreigingsactor, richt zich sinds februari op overheidsinstanties in Oekraïne. Zowel credential harvesting als malware zijn door de groep ingezet in phishingcampagnes. Het vermoedelijke doel van deze campagnes is het verzamelen van inlichtingen over het verloop van de Russische invasie.
Dit meldt Proofpoint op basis van een analyse. TA406 overlapt met activiteiten die door andere beveiligingsbedrijven zijn geïdentificeerd als Opal Sleet en Konni. TA406 gebruikt freemailafzenders die zich voordoen als leden van denktanks, in een poging doelwitten te overtuigen tot het beantwoorden van de phishing-e-mail. De inhoud van het lokmiddel is sterk gebaseerd op recente gebeurtenissen in de Oekraïense binnenlandse politiek.
PowerShell-opdrachten uitvoeren
TA406 zet zeker sinds 2019 HTML- en CHM-bestanden in voor het uitvoeren van embedded PowerShell-opdrachten. In een TA406-campagne uit februari 2025 deden de lokmails zich voor als een fictieve senior fellow bij een niet-bestaande denktank: het Royal Institute of Strategic Studies. De e-mail bevat een link naar de file hosting service MEGA, die leidt tot het downloaden van een met wachtwoord beveiligd RAR-archief. Wanneer het bestand wordt gedecodeerd en uitgevoerd, initieert het een infectieketen met behulp van PowerShell om een uitgebreide verkenning uit te voeren op de doelhost. De actor stuurde meerdere phishing-e-mails op opeenvolgende dagen toen het doelwit niet op de link klikte. In deze vervolgmail werd het doelwit gevraagd of eerdere e-mails waren ontvangen en werd nogmaals verzocht de bestanden te downloaden.
Volgens Proofpoint richt TA406 zich op Oekraïense overheidsinstanties om beter te begrijpen in hoeverre zij bereid zijn het gevecht tegen de Russische invasie voort te zetten. Daarbij proberen ze een inschatting te maken van de vooruitzichten van het conflict op middellange termijn. Noord-Korea heeft in het najaar van 2024 troepen ingezet om Rusland te helpen en TA406 verzamelt zeer waarschijnlijk inlichtingen om de Noord-Koreaanse leiders te helpen het huidige risico voor hun troepen in het strijdgebied te beoordelen. Ook proberen zij vast te stellen hoe waarschijnlijk het is dat Rusland om extra troepen of wapens zal vragen. In tegenstelling tot Russische groepen, die waarschijnlijk de opdracht hebben gekregen om tactische informatie over het slagveld te verzamelen en Oekraïense troepen ter plaatse aan te vallen, richt TA406 zich volgens Proofpoint doorgaans op strategische, politieke inlichtingenverzameling.
Meer informatie is hier te vinden.
Dutch IT events
Alle events
