Kimsuky Deploys HTTPSpy, Expands Arsenal with HelloDoor and VS Code Tunnels
Kimsuky, eine nordkoreanische Hackergruppe, hat im März und April 2026 südkoreanische Militär- und Unternehmensziele angegriffen. Sie nutzten Social Engineering, um Malware wie HTTPSpy, HelloDoor und VS Code Tunnels zu verbreiten. Betroffene Organisationen sollten ihre Sicherheitsmaßnahmen überprüfen und Mitarbeiter für Phishing-Versuche sensibilisieren.
Die nordkoreanische staatlich unterstützte Bedrohungsgruppe Kimsuky (auch bekannt als Velvet Chollima) hat im März und April 2026 südkoreanische Militär- und Unternehmenseinheiten angegriffen. Kimsuky setzte dabei HTTPSpy, HelloDoor und VS Code Tunnels ein, um ihre Angriffsfähigkeiten zu erweitern. Die Angriffe nutzten maßgeschneiderte Social Engineering Taktiken.
Südkoreanische Militär- und Unternehmenseinheiten, insbesondere im Energiesektor.
Organisationen, die mit südkoreanischen Entitäten interagieren oder ähnliche Verteidigungsstrategien wie diese haben, könnten ebenfalls Ziele sein. Die Nutzung neuer Tools wie HTTPSpy und VS Code Tunnels zeigt eine Anpassung der Taktiken, die eine Überprüfung der aktuellen Abwehrmaßnahmen erfordert.
Erfolgreiche Infiltration von Netzwerken, Datenexfiltration und langfristige Präsenz von Bedrohungsakteuren, die zu Spionage oder Sabotage führen kann.
Überprüfung der Erkennungsmechanismen für HTTPSpy, HelloDoor und VS Code Tunnels. Sensibilisierung der Mitarbeiter für Social Engineering Taktiken. Stärkung der Netzwerksegmentierung und Überwachung des ausgehenden Datenverkehrs.
- ▸Überprüfen Sie Ihre E-Mail-Filter und Endpoint Detection and Response (EDR)-Lösungen auf Indikatoren, die mit HTTPSpy, HelloDoor oder VS Code Tunnels in Verbindung stehen.
- ▸Führen Sie Phishing-Simulationen durch, die auf maßgeschneiderte Social Engineering Taktiken abzielen, um die Widerstandsfähigkeit der Mitarbeiter zu testen.
- ▸Überprüfen Sie die Netzwerkprotokolle auf ungewöhnlichen ausgehenden Datenverkehr, insbesondere zu unbekannten oder verdächtigen IP-Adressen und Domänen, die VS Code Tunnels nutzen könnten.
| Taktik | Technik | Konfidenz | Beleg |
|---|---|---|---|
| Initial Access | T1566 Phishing | High | Kimsuky employed a range of tailored social engineering tactics |
| Persistence | T1572 Protocol Tunneling | Medium | Deploys HTTPSpy, Expands Arsenal with HelloDoor and VS Code Tunnels |
| Command and Control | T1572 Protocol Tunneling | Medium | Deploys HTTPSpy, Expands Arsenal with HelloDoor and VS Code Tunnels |
- Spezifische CVEs oder Exploits, die von Kimsuky verwendet wurden, sind nicht im Artikel genannt.
- Genaue Details zu den Social Engineering Taktiken sind nicht im Artikel spezifiziert.
- Die genaue Funktionsweise von HTTPSpy und HelloDoor ist nicht detailliert beschrieben.
- Die spezifischen betroffenen Länder, außer Südkorea, sind nicht im Artikel genannt.
- Die genauen betroffenen Unternehmen oder militärischen Einheiten sind nicht im Artikel genannt.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
- Initial Access möglich?Unklar
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Unklar
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Können wir Reconnaissance detektieren?