هکرهای کره شمالی با بدافزار Nim و استفاده از ClickFix در کمپین BabyShark، Web3 را هدف قرار می‌دهند

بازیگران تهدید مرتبط با کره شمالی در حال هدف‌گیری کسب‌وکارهای Web3 و ارزهای رمزنگاری شده با بدافزار نوشته شده به زبان برنامه‌نویسی Nim هستند که نشان‌دهنده تکامل مداوم تاکتیک‌های آنها است. محققان SentinelOne گزارش دادند که این بدافزار به نام NimDoor از تکنیک‌های پیشرفته‌ای مانند تزریق فرآیند (process injection) و ارتباطات از راه دور از طریق پروتکل WebSocket رمزگذاری شده TLS استفاده می‌کند. زنجیره حملات شامل تاکتیک‌های مهندسی اجتماعی است که در آن مهاجمان از طریق پلتفرم‌هایی مانند تلگرام با اهداف تماس گرفته و جلسه Zoom را از طریق Calendly برنامه‌ریزی می‌کنند، سپس ایمیلی حاوی لینک جعلی Zoom همراه با دستورالعمل اجرای اسکریپت به‌روزرسانی SDK ارسال می‌کنند.

گروه Kimsuky نیز به استفاده مداوم از تاکتیک مهندسی اجتماعی ClickFix در کمپین BabyShark ادامه داده است که متخصصان امنیت ملی کره جنوبی را هدف قرار می‌دهد. این حملات شامل ایمیل‌های فیشینگ هدفمند است که خود را به عنوان درخواست مصاحبه از یک روزنامه تجاری آلمانی معرفی می‌کنند و قربانیان را فریب می‌دهند تا لینک‌های مخرب حاوی آرشیو RAR جعلی را باز کنند. شرکت Genians همچنین آسیب‌پذیری فهرست‌بندی دایرکتوری در سرور کنترل و فرماندهی (C2) را کشف کرد که داده‌های جمع‌آوری شده از قربانیان در سراسر کره جنوبی را به صورت عمومی در معرض نمایش قرار داده بود. بر اساس داده‌های NSFOCUS، Kimsuky یکی از فعال‌ترین گروه‌های تهدید کره‌ای بوده و در ماه مه ۲۰۲۵ مسئول ۵ درصد از کل ۴۴ فعالیت تهدید پیشرفته پایدار (APT) ثبت شده توسط این شرکت امنیت سایبری چینی بوده است.