Kimsuky是一個位於朝鮮的APT組織，又名Mystery Baby、Baby Coin、Smoke Screen、Black Banshe等。該組織下屬於朝鮮偵察總局，主要目的為竊取情報、間諜活動等。
該組織最早由卡巴斯基於2013年公開披露，其攻擊活動最早可追溯至2012年。Kimsuky長期針對韓國的智囊團、政府外交、新聞及教育學術組織等進行攻擊，後目標擴大至美國、俄羅斯和歐洲等多國。其攻擊手法多樣，常使用社會工程學、魚叉郵件、水坑攻擊及帶有漏洞的HWP文檔投遞惡意軟體。
近年來，該組織持續活躍，攻擊手法不斷演變，涉及利用軟體安裝包偽裝、惡意二維碼、AI生成偽造證件及與Lazarus組織聯手發起攻擊等。
基本介紹
- 外文名：Kimsuky
- 社團地址：朝鮮
- 類型：APT組織
- 別名：Mystery Baby
- 公司名稱：Kimsuky
發現歷史,組織背景,攻擊手法與特點,主要攻擊活動,攻擊目標演變,技術演變與趨勢,關聯與制裁,
發現歷史
最早由Kaspersky在2013年披露並命名。
其攻擊活動最早可追溯至2012年。
組織背景
Kimsuky是一個疑似具有朝鮮國家背景的APT組織，最早由卡巴斯基於2013年公開披露並命名，其攻擊活動最早可追溯至2012年。該組織也被稱為Mystery Baby、Baby Coin、Smoke Screen、Black Banshee、APT-C-55、APT-Q-2、VELVET CHOLLIMA、THALLIUM、BabyShark、Cobra Venom等多個別名。
該組織隸屬於朝鮮偵察總局，專門收集影響朝鮮利益的地緣政治情報，其主要目的是竊取機密情報，服務於朝鮮國家利益。其主要攻擊目標為韓國，涉及國防、教育、能源、政府、醫療以及智囊團等領域，近年來已將攻擊範圍擴大到包括美國、俄羅斯和歐洲在內的國家。
該組織通常使用社會工程學、魚叉郵件、水坑攻擊等手段投遞惡意軟體，擁有功能完善的惡意代碼武器庫，攻擊手法靈活多變，並持續更新攻擊工具和使用新技術，至今一直處於活躍狀態。
攻擊手法與特點
Kimsuky組織通常使用社會工程學、魚叉郵件、水坑攻擊、惡意二維碼以及偽裝軟體安裝包等多種手段投遞惡意軟體。誘餌檔案類型涉及Office文檔、HWP文檔、CHM檔案等，常利用惡意宏、OLE對象或漏洞（如MS Office方程編輯器漏洞）來投遞惡意載荷。
其惡意代碼武器庫包括AppleSeed、PebbleDash、BabyShark、Quasar RAT、TrollAgent、MySpy以及鍵盤記錄器等多種工具。
Kimsuky的攻擊具有高度定向性，例如檢測特定主機名以決定是否執行核心惡意代碼。常使用動態域名作為命令與控制（C2）伺服器。此外，還採用無檔案運行技術、利用合法進程（如regsvr32.exe）載入惡意DLL、使用數字簽名進行偽裝，並在攻擊後清除日誌以掩蓋痕跡。
典型的攻擊流程始於建立初步聯繫以獲取信任，隨後投遞惡意載荷，進而收集信息、建立持久化控制並最終竊取數據。
最新的演進手法包括使用AI工具（如ChatGPT）生成偽造軍人證件進行釣魚攻擊、採用ClickFix技術，以及與Lazarus組織聯手發起攻擊。
主要攻擊活動
Kimsuky組織自2013年被披露以來長期活躍，其攻擊目標主要為韓國，涉及國防、教育、能源、政府、醫療以及智囊團等領域，通常使用社會工程學、魚叉郵件、水坑攻擊等手段投遞惡意軟體，並常使用帶有漏洞的HWP文檔、惡意宏檔案等攻擊載荷。該組織的早期代表性攻擊事件包括2014年攻擊韓國水電與核電公司網站。
2021年，Kimsuky入侵了首爾大學醫院網站竊取個人信息。2022至2023年間，該組織的攻擊手法呈現多樣化，其攻擊活動開始與朝鮮糧食危機、海軍力量建設等國家政策議題產生關聯。Kimsuky曾採用帶有“生日祝福”誘餌信息的CHM檔案分發Quasar RAT遠程訪問木馬。同時，該組織還通過冒充NK News創始人進行社會工程攻擊，旨在竊取目標的訂閱憑證。
2024年，Kimsuky的攻擊手法在軟體偽裝和利用供應鏈漏洞方面持續演進。該組織被發現有以韓國軟體公司SGA旗下產品安裝程式為偽裝的竊密攻擊樣本。攻擊者還利用VPN系統的軟體更新缺陷傳播名為TrollAgent的惡意程式。此外，其攻擊樣本中也出現了釋放帶韓國軟體廠商BlueMoonSoft簽名檔案進行偽裝的案例。
進入2025年，Kimsuky的攻擊展現出更高的定向性和協同性。該組織發起了針對韓國企業Danam的定向攻擊，其後門程式會檢測設備主機名是否包含特定字元串。Kimsuky還與Lazarus組織聯手發起攻擊行動，通過將社會工程學與0Day漏洞利用相結合，專門針對區塊鏈錢包竊取敏感情報和加密貨幣。在技術套用上，Kimsuky開始使用ChatGPT等AI工具生成偽造軍人證件實施新型釣魚攻擊，並採用了名為“ClickFix”的欺騙性策略，誘使用戶執行惡意腳本。
2026年，美國聯邦調查局警告稱，朝鮮網路攻擊組織Kimsuky正利用惡意二維碼發起定向釣魚攻擊，目標包括智庫、學術機構及外交與國際事務相關組織。在基礎設施方面，Kimsuky等國家級攻擊者被觀察到正在積極利用暴露在公網的OpenClaw實例作為攻擊跳板或目標。
攻擊目標演變
該組織早期主要攻擊目標為韓國，涉及國防、外交、能源、政府、醫療、智庫、教育學術等領域。從2018年開始，該組織頻繁針對韓美兩國特定領域人員發起攻擊。攻擊目標的選擇常與朝鮮半島地緣政治、經濟民生、朝鮮國內政策（如糧食、軍事）等熱點事件高度相關。
在過去幾年裡，他們將攻擊目標擴大到包括美國、日本、俄羅斯和一些歐洲國家在內的多個國家。近年來，其攻擊目標進一步與加密貨幣、區塊鏈等金融領域關聯，並與Lazarus等組織聯手，威脅全球國防、金融、能源和區塊鏈行業機構。
技術演變與趨勢
Kimsuky的攻擊活動最早可追溯至2012年，早期主要使用帶有惡意宏或漏洞的Office文檔和HWP文檔進行魚叉式釣魚攻擊，以竊取情報為目標。
自2018年以來，Kimsuky的武器庫不斷擴展，從依賴特定漏洞文檔發展到使用開源遠程訪問木馬（RAT）如Quasar RAT，並利用Metasploit Framework（MSF）生成Shellcode，以及使用經過VMProtect等加殼工具處理的惡意DLL。其攻擊手法也趨於複雜化，結合精密社會工程學長期偽裝身份建立信任、利用供應鏈攻擊偽裝成韓國軟體公司SGA或BlueMoonSoft的合法安裝程式進行投毒，並頻繁使用通過PowerShell執行記憶體中載荷的無檔案攻擊技術以規避檢測。同時，Kimsuky的基礎設施更加隱蔽，廣泛使用動態域名服務（DDNS）作為C2伺服器，且C2基礎設施分布在韓國、美國等多個國家，攻擊載荷也常添加隨機數據以避免哈希值被唯一標識。此外，其後門程式增加了運行環境檢查功能，僅在包含特定主機名（如指向韓國企業‘DANAM’）的設備上執行核心惡意代碼，體現了攻擊的高度定向性。
在最新趨勢中，Kimsuky積極利用人工智慧（AI）工具如ChatGPT生成深度偽造內容（如高度逼真的偽造軍人證件圖像），用於提升釣魚攻擊的欺騙性。該組織還出現與其他朝鮮黑客組織（如Lazarus）協同發起攻擊的趨勢，共享基礎設施並在攻擊後協同清除痕跡。攻擊媒介方面，Kimsuky開始利用惡意二維碼嵌入釣魚郵件誘導受害者從電腦轉向手機以繞過安全防護，並利用VPN等遠程安全訪問軟體的更新缺陷進行供應鏈投毒。同時，該組織持續積極搜尋並利用暴露在公網的不安全服務（如OpenClaw實例）作為攻擊跳板或目標。
關聯與制裁
聯合國安理會下屬對朝制裁委員會的專家組報告指出，Kimsuky隸屬於朝鮮偵察總局第三局（技術偵察局）。該組織下屬於朝鮮偵察總局，專門收集影響朝鮮利益的地緣政治情報。
該組織與朝鮮其他APT組織如Lazarus存在協同攻擊的情況，例如在2025年，兩者聯手發起攻擊行動，通過結合社會工程學與0Day漏洞利用，竊取敏感情報和加密貨幣，並在攻擊後通過共享基礎設施協同清除證據。
2023年6月，韓國政府宣布對Kimsuky實施單邊制裁，原因是其攻擊活動與朝鮮軍事偵察衛星發射有關。這是韓國首次因網路領域對朝制裁，也是韓國政府對朝鮮發射軍事偵察衛星採取的首個制裁措施，屬於韓國第八次對朝單邊制裁行動中的第四次網路領域制裁。
