Kuzey Koreli Kimsuky, Ukraynalı uzmanları sahte konferans davetleriyle hedef aldı

Kuzey Kore devleti destekli Kimsuky grubu, diplomasi, güvenlik ve uluslararası politika alanlarında çalışan Ukraynalı uzmanları hedef alıyor. Bu bilgi, Güney Koreli siber güvenlik şirketi Genians'ın The Record'un aktardığı raporundan geliyor. Genians, faaliyeti Operation GitPower adıyla izliyor. Şirkete göre saldırıların amacı Rusya'nın Ukrayna'daki savaşına, Kuzey Kore'nin asker kayıplarına ve Kuzey Koreli savaş esirlerine nasıl davranıldığına dair istihbarat toplamak olabilir. The Record'a göre Genians bulgularını 12 Ekim'de yayımladı. Gözlemlenen saldırıların çoğu başarısız oldu.

Neler oldu?

The Record'un aktardığına göre saldırganlar çok aşamalı bir sosyal mühendislik yöntemi izledi ve zararlı içerik göndermeden önce hedeflerle güven ilişkisi kurdu. Ağustos 2026'daki bir örnekte hedef kişiye, Seul'deki bir siber güvenlik konferansının organizatörleri adına sahte bir davet gönderildi ve yol ile konaklama masraflarının karşılanacağı söylendi. İlk e-postada bağlantı ya da ek yoktu. Alıcıdan yalnızca yanıt vermesi isteniyordu.

Başka bir yemde, Avrupalı bir politika araştırmacısı gibi davranan saldırganlar Rusya-Kuzey Kore askeri iş birliği üzerine bir rapor için görüş istedi. Ardından araştırma materyali gibi gösterilen zararlı bir arşiv dosyası gönderildi. The Record'a göre saldırganlar PDF belgesi ve meşru Zoom kurulum dosyası görünümündeki dosyaları da kullandı.

Teknik detaylar

The Record'un aktardığına göre Genians, grubun zararlı dosyaları dağıtmak ve ele geçirilen sistemlerle iletişim kurmak için GitHub, GitLab ve Codeberg gibi meşru geliştirici platformlarını kötüye kullandığını tespit etti. Zararlı yazılım bulaştığı bilgisayarlardan bilgi topluyor, sisteme erişimi koruyor ve çalınan verileri saldırganların kontrolündeki altyapıya gönderiyor. The Record'un haberinde zararlı yazılım ailelerinin adları ve tehdit göstergeleri (IOC) yer almıyor. Bu ayrıntılar Genians'ın tam raporunda bulunuyor.

The Record, kampanya altyapısında Japonca belgeler bulunduğunu da aktarıyor. Bu durum, ileride Japonca konuşan hedeflere yönelik saldırıların gelebileceğine işaret edebilir. Genians, yakalanan iki Kuzey Koreli askerin eylülde Güney Kore'ye teslim edilmesinin Pyongyang için özellikle ilgi çekici olabileceğini değerlendiriyor.

Arka plan

The Record'a göre Kimsuky en az 2012'den bu yana faal ve 2023'te ABD ile Pasifik'teki müttefikleri tarafından yaptırım listesine alındı. Proofpoint, Mayıs 2025'te TA406 olarak izlediği bağlantılı bir kümenin Ukrayna devlet kurumlarını hedef aldığını bildirmişti. Proofpoint'e göre bu operasyonlar "siyasi istihbarat ve savaşın stratejik analizi" üzerine yoğunlaşıyordu.

Ne yapmalı?

Ukrayna, Rusya veya Kore Yarımadası üzerine çalışan araştırmacılar, diplomatlar ve düşünce kuruluşu çalışanları için öneriler:

• Beklenmedik konferans davetlerine ve araştırma iş birliği taleplerine, özellikle ilk aşamada yalnızca yanıt isteyenlere şüpheyle yaklaşın.
• Dosya uzantılarını dikkatle kontrol edin. PDF gibi gösterilen kısayol ya da çalıştırılabilir dosyalar Kimsuky'nin sık kullandığı bir taktik.
• Zoom gibi yazılımları yalnızca üreticinin resmi sitesinden indirin.
• Güvenlik ekipleri, iş istasyonlarından GitHub, GitLab ve Codeberg gibi kod barındırma platformlarına giden olağan dışı bağlantıları izlemeli.