کیمسوکی ابزار HTTPSpy را مستقر می‌کند و با HelloDoor و تونل‌های VS Code زرادخانه خود را گسترش می‌دهد

گروه هکری کیمسوکی (Kimsuky) با نام مستعار ولوت چولیما (Velvet Chollima) که از سوی دولت کره شمالی حمایت می‌شود، در ماه‌های مارس و آوریل ۲۰۲۶ سلسله‌ای از حملات سایبری پیچیده را علیه نهادهای نظامی و شرکت‌های کره جنوبی انجام داده است. بر اساس تحلیل شرکت امنیتی ENKI، این گروه از تاکتیک‌های مهندسی اجتماعی (social engineering) هدفمند بهره برده، از جمله جعل صفحات نصب نرم‌افزارهای امنیتی و ساخت یک صفحه تقلبی از سرویس ویدئوکنفرانس سیسکو وبکس (Cisco Webex). در کمپین مارس، بدافزار از طریق صفحه‌ای جعلی که نصب‌کننده نرم‌افزارهای امنیتی معتبر کره جنوبی نظیر nProtect و AhnLab را شبیه‌سازی می‌کرد، توزیع شد و در نهایت تروجان دسترسی از راه دور (remote access trojan) موسوم به HTTPSpy را مستقر می‌ساخت. در کمپین آوریل نیز صفحه‌ای جعلی از وبکس قربانیان را به دانلود اسکریپتی ترغیب می‌کرد که زنجیره‌ای چندمرحله‌ای از بدافزارها را فعال می‌کرد. محققان همچنین تکنیک جدیدی به نام JSONPing را شناسایی کردند که به مهاجم امکان می‌دهد وضعیت اجرای بدافزار را در زمان واقعی تأیید کند.

همزمان، شرکت کسپرسکی (Kaspersky) فاش کرد که کیمسوکی در کمپین‌های اخیر خود از ابزارهایی چون تونل‌سازی ویژوال استودیو کد مایکروسافت (Microsoft Visual Studio Code tunneling)، تانل‌های کوئیک کلودفلر (Cloudflare Quick Tunnels)، مدل‌های زبانی بزرگ (LLMs) و زبان برنامه‌نویسی راست (Rust) بهره گرفته است. این گروه دو خانواده اصلی بدافزاری به نام‌های PebbleDash و AppleSeed را توسعه داده که شامل گونه‌های جدیدی چون HelloDoor (مبتنی بر Rust و احتمالاً توسعه‌یافته با کمک هوش مصنوعی)، HttpMalice و HappyDoor می‌شوند. محقق کسپرسکی سوجون ریو (Sojun Ryu) تأکید کرد که این گروه همچنان به کدهای منبع اصلی بدافزارهای خود دسترسی دارد و توانایی تغییر آن‌ها را حفظ کرده، در حالی که دامنه هدف‌گیری آن به صنایع دفاعی، نظامی، دولتی، پزشکی و انرژی در کشورهایی چون برزیل و آلمان نیز گسترش یافته است.