ФБР предупреждает о том, что хакеры из Kimsuky используют QR-коды для фишинга американских организаций.

[admin]

Федеральное бюро расследований в экстренном сообщении предупреждает, что спонсируемая северокорейским государством хакерская группа Kimsuki использует вредоносные QR-коды в фишинговых кампаниях, направленных на американские организации.


Наблюдаемая деятельность направлена против организаций, занимающихся политикой, исследованиями и анализом, связанными с Северной Кореей, включая неправительственные организации, аналитические центры, академические учреждения, фирмы стратегического консалтинга и правительственные структуры в США.


Использование QR-кодов в фишинге, метод, также известный как «куишинг», не является чем-то новым ; ФБР предупреждало об этом , когда киберпреступники использовали его для кражи денег, но он по-прежнему остается эффективным способом обхода системы безопасности.

Kimsuky (APT43) — это поддерживаемая государством северокорейская группа киберпреступников , причастная к многочисленным атакам, в ходе которых хакеры выдавали себя за журналистов , использовали известные уязвимости , применяли атаки на цепочки поставок и тактику ClickFix .


ФБР предупреждает, что в ходе прошлогодних кампаний связанные с Кимсуки злоумышленники рассылали электронные письма с QR-кодами, которые перенаправляли жертв на вредоносные сайты, замаскированные под анкеты, защищенные диски или поддельные страницы входа в систему.

Агентство предоставило четыре примера, в которых Кимсуки использовал метод «квизинга» для перенаправления целей в контролируемое злоумышленником местоположение.


Чтобы обмануть жертву, нападавшие выдавали себя за иностранных инвесторов, сотрудников посольства, членов аналитических центров и организаторов конференций.


«В июне 2025 года злоумышленники из Kimsuky разослали консалтинговой фирме фишинговое электронное письмо с приглашением на несуществующую конференцию», — сообщает ФБР .

Техника подавления​

В ходе мошеннической кампании жертвы, сканирующие QR-код, обычно попадают под контроль злоумышленника, который считывает идентификационные данные их устройств, собирает информацию об агенте пользователя, операционной системе, IP-адресе, размере экрана и локальном языке.


Как правило, жертвам показывают фишинговую страницу, имитирующую страницы Microsoft 365, Okta, VPN-порталов или страниц входа в Google, с конечной целью кражи учетных данных или токенов доступа.

«Операции по квишингу часто заканчиваются кражей и повторным воспроизведением токенов сессии, что позволяет злоумышленникам обходить многофакторную аутентификацию и захватывать облачные учетные записи, не вызывая типичных предупреждений о сбое MFA», — отмечает агентство.


Поскольку сканирование QR-кода заставляет жертву использовать свои мобильные устройства, злоумышленники обходят традиционные решения для защиты электронной почты и могут распространять вредоносные письма из скомпрометированного почтового ящика.


ФБР описывает эти атаки как «вектор несанкционированного доступа к личным данным, устойчивый к многофакторной аутентификации», поскольку они исходят с неуправляемых мобильных устройств, находящихся вне стандартных систем обнаружения и реагирования на угрозы на конечных устройствах (EDR) и сетевого мониторинга.


Для защиты от подобных атак ФБР рекомендует проводить целенаправленное обучение сотрудников, проверку источника QR-кодов, внедрение системы управления мобильными устройствами и обеспечение многофакторной аутентификации.


Агентство рекомендует жертвам подобных атак немедленно сообщать о них в местное подразделение ФБР по борьбе с киберпреступностью или на портал IC3.