隐秘的间谍：朝鲜黑客如何利用GitHub攻击各国使馆
内容提要
Trellix高级研究中心揭示朝鲜黑客组织针对韩国外交机构的间谍活动，利用钓鱼攻击和合法平台如GitHub进行数据窃取。攻击者伪装成可信联系人，通过恶意邮件感染受害者设备，窃取敏感信息，显示出高度的诱饵设计和隐蔽性。
关键要点
-
Trellix高级研究中心揭露朝鲜黑客组织针对韩国外交机构的间谍活动。
-
攻击者利用钓鱼攻击和合法平台如GitHub进行数据窃取。
-
从2025年3月至7月，朝鲜相关威胁行为体发起至少19次鱼叉式钓鱼攻击。
-
攻击者伪装成可信外交联系人，通过恶意邮件感染受害者设备。
-
恶意邮件包含伪装成PDF的快捷方式文件，感染链通过PowerShell脚本执行。
-
最终有效载荷是XenoRAT变种，能够记录键盘输入和窃取敏感信息。
-
钓鱼内容与现实世界事件同步，增加了可信度，制作了至少54份独特的诱饵文档。
-
窃取的数据通过GitHub API外传，伪装成正常的HTTPS流量。
-
证据表明这些活动与朝鲜间谍组织Kimsuky(APT43)有关，属于朝鲜的间谍活动。
延伸解读
钓鱼攻击的隐蔽性
朝鲜黑客组织利用高度伪装的钓鱼邮件进行攻击，邮件内容与现实事件紧密相关，增加了受害者上当的可能性。这种策略显示出攻击者在社会工程学方面的高超技巧，提醒各国外交机构在处理邮件时需提高警惕，特别是来自未知发件人的信息。
合法平台的滥用风险
攻击者通过合法平台如GitHub进行数据窃取，利用其正常流量掩盖恶意活动。这种手法使得传统的网络安全防护措施难以识别和阻止，提示企业和机构在使用这些平台时需加强监控和审查，确保数据安全。
多阶段攻击的复杂性
此次攻击采用多阶段策略，从伪装邮件到恶意软件的下载，层层递进，增加了防御的难度。受害者在不知情的情况下逐步被感染，强调了网络安全防护的必要性，尤其是在防范复杂攻击链方面。
延伸问答
朝鲜黑客组织是如何利用GitHub进行间谍活动的？
朝鲜黑客组织利用GitHub作为隐蔽的命令与控制通道，通过伪装成合法开发者的方式进行数据窃取。
这次间谍活动的主要目标是什么？
主要目标是韩国境内的外交机构，攻击者针对全球使馆发起了至少19次鱼叉式钓鱼攻击。
攻击者使用了哪些钓鱼手段？
攻击者通过伪装成可信外交联系人发送恶意邮件，诱骗受害者打开包含恶意文件的附件。
恶意软件的功能是什么？
恶意软件XenoRAT能够记录键盘输入、截取屏幕截图、访问摄像头和麦克风，并窃取敏感信息。
攻击者如何确保钓鱼内容的可信度？
攻击者制作的钓鱼内容与现实世界事件同步，增加了诱饵的可信度，制作了至少54份独特的诱饵文档。
这次间谍活动与哪个组织有关？
证据表明这些活动与朝鲜间谍组织Kimsuky(APT43)有关。
