Noord-Koreaanse dreigingsactoren richten zich op Oekraïense overheidsinstanties
In februari 2025 begon TA406, een door Noord-Korea gesponsorde dreigingsactor, zich te richten op overheidsinstanties in Oekraïne. Zowel credential harvesting als malware werden ingezet in phishingcampagnes. Het vermoedelijke doel van deze campagnes is het verzamelen van inlichtingen over het verloop van de Russische invasie. TA406 overlapt met activiteiten die door derde partijen publiekelijk worden gevolgd als Opal Sleet en Konni. De interesse van de groep in Oekraïne bouwt voort op eerdere targetting van overheidsinstanties in Rusland voor strategische inlichtingenverzameling. TA406 gebruikt freemailafzenders die zich voordoen als leden van denktanks om doelwitten te overtuigen om de phishing-e-mail te beantwoorden. De inhoud van het lokmiddel is sterk gebaseerd op recente gebeurtenissen in de Oekraïense binnenlandse politiek.
Sinds ten minste 2019 heeft TA406 een voorkeur getoond om in de vroege stadia van malware-implementatiecampagnes HTML- en CHM-bestanden te gebruiken voor het uitvoeren van embedded PowerShell-opdrachten. In een TA406-campagne uit februari 2025 deden de lokmails zich voor als een fictieve senior fellow bij een niet-bestaande denktank, het Royal Institute of Strategic Studies. De e-mail bevat een link naar de file hosting service MEGA, die leidt tot het downloaden van een met wachtwoord beveiligd RAR-archief. Wanneer het bestand wordt gedecodeerd en uitgevoerd, initieert het een infectieketen met behulp van PowerShell om uitgebreide reconnaissance uit te voeren op de doelhost. De actor stuurde meerdere phishing-e-mails op opeenvolgende dagen toen het doelwit niet op de link klikte. In deze vervolgmail werd het doelwit gevraagd of eerdere e-mails waren ontvangen en werd nogmaals verzocht de bestanden te downloaden.
Volgens Proofpoint richt TA406 zich op Oekraïense overheidsinstanties om beter te begrijpen in hoeverre zij bereid zijn het gevecht tegen de Russische invasie voort te zetten. Daarbij proberen ze een inschatting te maken van de voorruitzichten van het conflict op middellange termijn. Noord-Korea heeft in het najaar van 2024 troepen ingezet om Rusland te helpen en TA406 verzamelt zeer waarschijnlijk inlichtingen om de Noord-Koreaanse leiders te helpen het huidige risico voor hun troepen in het strijdgebied te beoordelen. Ook proberen zij vast te stellen hoe waarschijnlijk het is dat Rusland om extra troepen of wapens zal vragen. In tegenstelling tot Russische groepen, die waarschijnlijk de opdracht hebben gekregen om tactische informatie over het slagveld te verzamelen en Oekraïense troepen ter plaatse aan te vallen, richt TA406 zich doorgaans op strategische, politieke inlichtingenverzameling.
Meer over
Lees ook
Chinese overheid arresteert cybercrime verdachten op verzoek van VS
De Chinese overheid heeft voor het eerst op verzoek van de VS een aantal personen gearresteerd die worden verdacht van cybercrime. De arrestaties zijn onderdeel van een Chinees initiatief om de spanningen tussen China en de VS aan te pakken. Dit meldt The Washington Post. De verdachten zijn in september ingerekend, enkele weken voordat de Chinese1
China: ‘VS moet stoppen met ongegronde beschuldigingen’
China wil dat de Verenigde Staten (VS) stopt met de ‘ongegronde beschuldigingen’ die het tegen het land uit. China hoopt dat de VS bereid is een dialoog met wederzijds respect te voeren om samen te werken aan een vreedzaam, veilig en open cyberspace. Dit zegt Hong Lei, een woordvoerder van het Chinese ministerie van Buitenlandse Zaken. Hong Lei re1
‘Duitse geheime dienst stopt delen van data over internetverkeer met NSA’
De Duitse geheime dienst BND geeft in zijn geheel geen data over internetverkeer meer aan de NSA. Dit besluit is genomen nadat bekend werd dat de BND jarenlang de Amerikaanse geheime dienst NSA heeft geholpen met cyberspionage. De Süddeutsche Zeiting meldt dat informatie over internetverkeer niet meer met de Amerikanen wordt gedeeld. Informatie ov1