朝鲜威胁组织ScarCruft利用KoSpy恶意软件监控安卓用户
💡
原文中文，约2000字，阅读约需5分钟。
📝
内容提要
朝鲜组织ScarCruft开发了名为KoSpy的安卓监控恶意软件，专门针对韩语和英语用户。该软件伪装成实用工具，收集短信、通话记录和位置信息。KoSpy通过合法服务保持隐蔽，攻击链与朝鲜黑客组织Kimsuky相关。安全专家警告此类攻击对全球组织构成风险。
🎯
关键要点
- 朝鲜组织ScarCruft开发了名为KoSpy的安卓监控恶意软件，专门针对韩语和英语用户。
- KoSpy伪装成实用工具，收集短信、通话记录、位置信息等数据。
- 该恶意软件通过合法服务保持隐蔽，攻击链与朝鲜黑客组织Kimsuky相关。
- KoSpy的功能包括动态加载插件，能够收集大量数据。
- ScarCruft是自2012年以来活跃的朝鲜国家支持的网络间谍组织。
- KoSpy通过Firebase Firestore云数据库检索命令与控制服务器地址。
- 恶意软件确保设备不是模拟器，并检查激活日期以避免暴露意图。
- KoSpy能够收集广泛的数据，包括击键记录和录音功能。
- 发现与Kimsuky组织的攻击活动存在基础设施重叠。
- 同时发现六个npm包，旨在部署名为BeaverTail的信息窃取恶意软件。
- 这些npm包模仿受信任库的名称，采用拼写错误策略欺骗开发人员。
- 新活动利用RustDoor和Koi Stealer针对加密货币行业。
- 攻击者的特征与Contagious Interview相似，可能代表朝鲜政权进行活动。
- 此次活动突显全球组织面临的风险，尤其是针对敏感数据和加密货币的攻击。
❓
延伸问答
KoSpy恶意软件的主要功能是什么？
KoSpy能够收集短信、通话记录、位置信息、文件、音频和截图等数据。
ScarCruft组织的背景是什么？
ScarCruft是自2012年以来活跃的朝鲜国家支持的网络间谍组织，也称为APT27和Reaper。
KoSpy是如何保持隐蔽的？
KoSpy通过合法服务如Firebase Firestore来检索命令与控制服务器地址，从而保持隐蔽。
KoSpy是如何诱骗用户下载的？
KoSpy伪装成Google Play商店中的实用工具应用，使用诱人的名称来吸引用户下载。
ScarCruft与Kimsuky组织有什么关联？
KoSpy的活动基础设施与朝鲜黑客组织Kimsuky的攻击活动存在重叠。
此次恶意软件活动对全球组织有什么风险？
此次活动突显了全球组织面临的风险，尤其是针对敏感数据和加密货币的攻击。
➡️
