朝鲜特工如何利用受信任的应用攻击韩国人
据韩国的取证调查人员称，朝鲜国家支持的网络行动人员发动了一场协调行动，将日常工具变成了攻击渠道。这个与平壤关联行动人员组成的Konni组织有关的团体窃取谷歌账号凭据，通过谷歌“查找中心”服务远程控制安卓手机和平板电脑，随后劫持KakaoTalk账号，借助真实联系人网络传播恶意软件。研究人员称，这是首个得到确认的案例：朝鲜关联行动人员入侵谷歌账号，利用内置管理功能远程控制智能设备。
目录
Genians安全中心的安全分析师表示，攻击者最初冒充税务官员植入恶意软件。经过一段时间的秘密监控后，入侵者登录被盗的谷歌账号。通过“查找中心”这一消费者安全工具（设备所有者可用它定位并保护丢失的设备），他们追踪手机位置并下达远程恢复出厂设置的指令。清除操作删除了个人数据，并暂时阻断通知，这为后续攻击创造了条件。
由于目标无法接听电话或收到通知，行动转而利用仍保持登录状态的KakaoTalk桌面客户端。攻击者冒用受害者姓名，并利用其可信聊天记录，向联系人列表发送伪装成减压程序的恶意文件。这种手法借助社交信任传播恶意软件；由于许多受害者无法使用手机，或正忙于恢复设备，攻击也因此更晚才被发现。
谷歌表示，这些活动滥用了有效的账号访问权限和合法功能，并非利用安卓或“查找中心”中的漏洞。该公司敦促用户启用两步验证或通行密钥，并建议高风险人群加入高级保护计划。
攻击过程
这场行动分阶段展开，结合了邮件诱骗、账号窃取、云端设备控制和即时通信工具滥用。这是攻击者“就地取材”的一个例子：内置服务和受信任的应用成了攻击工具。调查人员披露的两起事件（包括9月5日和9月15日发生的案例）显示，一旦单个账号遭到入侵，这种手法就能迅速在个人和职业社交圈中传播恶意软件。
第一步：鱼叉式网络钓鱼与初始入侵
入侵始于定向消息，攻击者冒充韩国国税厅。受害者被诱导打开看似合法的附件或安装程序，其中包括打包为已签名MSI安装程序的文件。这些文件会在后台运行脚本，建立持久性并下载远程访问工具。分析人员发现了多种可全面控制Windows系统的恶意软件，包括Lilith RAT、Remcos RAT、Quasar RAT和RftRAT，以及基于AutoIt的加载器。恶意软件会进行侦察、窃取浏览器中存储的凭据并监控活动，为窃取账号做准备。
目标包括与朝鲜脱北者及人权倡导者合作的人士。有些诱饵被包装成有助于缓解压力的程序。攻击者根据收件人的身份和关切定制消息，提高了对方打开文件的可能性，从而在个人电脑上站稳脚跟。
第二步：接管账号并滥用“查找中心”
植入恶意软件后，行动人员窃取谷歌、Naver等服务的账号凭据。随后，他们利用盗取的谷歌登录信息访问“查找中心”。这项服务允许设备所有者查询手机最后一次已知位置，并下达播放声音或将设备恢复出厂设置等指令。入侵者先通过位置查询确认目标当时没有在使用手机，然后触发远程重置。调查人员还发现迹象表明，攻击者在部分案例中删除了安全警报邮件，并清空邮箱垃圾箱以掩盖行踪。他们多次下达重置指令，以阻碍恢复并减少手机上留存的证据。
设备重置后，所有者无法查看新通知，包括联系人询问可疑文件的紧急消息。清除操作还删除了可能暴露入侵行为的线索，使攻击者得以利用另一台仍登录受害者账号的设备实施下一步行动。
第三步：利用KakaoTalk大规模传播恶意软件
KakaoTalk在韩国几乎人人都用，许多用户的桌面端会一直保持登录状态。手机重置后，攻击者转而利用受害者的KakaoTalk电脑版，快速传播恶意文件。他们以受害者的真实姓名和头像发消息，通常附上一句简短说明和一个附件。收件人信任发信人，打开文件后，恶意软件便会感染其设备，扩大受感染机器的数量。一起案例中，攻击者在几分钟内向30多名联系人发送了消息。另一起案例中，十天后，攻击者利用另一个遭入侵的账号大范围同时发送恶意文件。
行动幕后组织
此次活动被归因于Konni组织，这是一个与朝鲜有关联的网络间谍网络，与外界普遍称为Kimsuky和APT37的组织存在交集。不同安全厂商对同一批或密切关联的行动人员使用不同名称，包括Earth Imp、Opal Sleet、Osmium、TA406和Vedalia。这些团队在针对韩国政府机构、教育界、媒体、民间社会和加密货币社群的行动中共用基础设施和工具集。
朝鲜行动人员长期针对移动设备发动攻击。例如，研究人员记录过伪装成实用工具或安全应用的安卓间谍软件，它们可以录音、截屏和窃取文件。此次行动的不同之处在于，攻击者滥用基于账号的设备管理功能清除手机，随后立即转向桌面即时通信会话继续传播。这种组合表明行动在多个平台之间经过成熟协调，而非单一恶意软件独自发挥作用。
滥用“查找中心”为何是一个转折点
多年来，与朝鲜有关联的组织一直将定制恶意软件、被盗凭据和合法工具结合使用。滥用“查找中心”进一步提高了风险，因为攻击者把一项消费者安全功能变成了远程清除工具和干扰手段。重置手机既能使设备失效、删除间谍活动数据痕迹，也能在最需要警告时让用户收不到其他渠道发来的提醒。这为攻击者利用已登录的桌面会话快速传播恶意软件创造了机会。
这种手法也增加了事件响应的难度。手机上的部分遥测数据和证据会随着重置消失。相关活动分散在设备、云端账号和桌面客户端中。防御人员必须从这三处收集数据，才能完整还原攻击过程。Genians分析师称，这种手法是朝鲜关联高级行动的一个分水岭。
在有关此案的报告中，Genians安全中心写道：
此前已知的国家支持型高级持续性威胁行动中，从未出现过将设备瘫痪与基于账号的传播相结合的情况。
受害者遭受的后果与伤害
入侵者并非随机选择目标。调查人员称，一名为朝鲜脱北者学生提供支持的心理咨询师在9月5日遭遇手机重置。在很短的时间内，该咨询师的KakaoTalk账号就被用来向客户发送一个标注为减压程序的文件。数名收件人打开后，设备遭到感染。攻击者选择的即时通信工具和消息内容都利用了收件人的信任，并与他们的生活息息相关。
十天后，一名关注朝鲜问题的人权活动人士也遭遇了类似情况。其安卓设备通过“查找中心”被远程重置，随后其KakaoTalk账号向36名熟人发送了恶意文件。两起事件中，受害者的手机在最初的关键几小时里都无法接听电话或接收提醒，导致怀疑出现异常的联系人未能及时发出警告。
对一些受害者来说，手机清除操作删除了照片、文件、联系人和工作成果。调查人员还在受感染的电脑上发现了具备摄像头和麦克风控制能力的恶意软件模块，因此担心攻击者可能在下达重置指令前利用摄像头确认受害者是否在场。韩国与脱北者及民间社会团体合作的人士本就面临特殊风险。这场行动表明，日常数字生活可能被用来反过来攻击他们，并造成个人和职业方面的损失。
专家与官方回应
韩国警方已对9月发生的两起事件展开调查。分析人员称，相关代码和技术手法与此前归因于朝鲜关联组织的活动模式相符。调查人员敦促可能成为目标的人士（包括咨询师和活动人士）全面检查桌面和移动设备环境，排查账号是否遭到入侵。
安全团队强调，攻击者并不需要利用安卓或“查找中心”中的程序漏洞，只需要有效凭据和对受信任应用的访问权限。研究人员建议服务提供商为远程重置等敏感操作增加实时验证步骤；即时通信工具则应在桌面客户端试图在短时间内向大量联系人发送可执行文件时，发出更强警告或设置延迟。
如何保护谷歌和KakaoTalk账号
这场行动依赖被盗的登录信息、持续登录的桌面会话，以及用户通常会信任的功能。采取以下措施可以降低风险，让账号更难遭到滥用：
- 为谷歌账号启用两步验证。优先使用通行密钥或安全密钥。活动人士、记者等风险较高的人士应加入谷歌高级保护计划。
- 打开谷歌账号设置并运行安全检查。移除不熟悉的设备和会话，撤销不认识的第三方访问权限，并检查恢复手机号和邮箱。
- 查看“查找中心”或“查找我的设备”设置中的账号关联设备列表，确认每台设备都为本人所有。确保每台设备都设置了强PIN码，并确认远程重置需要身份验证。
- 检查电子邮件安全设置。查看Gmail中是否有可疑过滤器、转发规则或委派访问权限。攻击者有时会添加规则来隐藏警报。
- 避免在共享或未受管理的电脑浏览器中保存密码。使用可信的密码管理器，并通过主密码或安全密钥锁定。
- 及时更新安卓、Windows、macOS和KakaoTalk。查看KakaoTalk设置，确认哪些电脑已登录账号，并退出所有不认识的设备。
- 谨慎对待未经请求发送的文件或应用安装程序，即使它们来自信任的联系人。打开文件前，通过其他渠道致电发件人核实。
- 为重要照片和文件保留离线备份。使用后断开连接的外部备份不会受到设备重置影响。
- 开启登录提醒并仔细阅读。如果收到可疑提醒，不要点击其中的链接。请在新的浏览器会话中直接进入账号设置并检查活动记录。
怀疑自己成为攻击目标时应立即采取的措施
- 使用自己掌控且确认干净的设备，更改谷歌和KakaoTalk密码，然后启用两步验证或通行密钥。
- 打开谷歌账号，查看近期安全事件，并退出所有其他会话。撤销任何不熟悉的应用令牌。
- 在Gmail中删除异常过滤器或转发规则。在KakaoTalk中强制退出所有电脑，只对自己使用的设备重新授权。
- 如果手机已被重置，请将其视为全新设备。恢复数据前先更改账号密码并核实恢复信息，只从可信备份中恢复数据。
- 提醒联系人，你发出的消息可能含有恶意内容。请他们不要打开收到的文件，并运行安全扫描。
- 尽可能保留证据。不要清除电脑数据。截取可疑活动日志的屏幕截图，然后联系当地网络犯罪调查部门或可信的安全团队。
机构现在应采取的措施
在韩国有员工，或从事与朝鲜相关工作的人士所在机构，应假定自己是有吸引力的攻击目标。将身份安全与终端监控结合起来的专项计划可以降低风险并加快响应。
- 要求所有Google Workspace和身份提供商账号启用多因素验证。采用通行密钥或硬件安全密钥等抗网络钓鱼验证方式。
- 加强浏览器安全设置，并在非托管环境中关闭密码自动保存。为员工提供企业级密码管理器。
- 部署终端检测与响应工具，并配置基于行为的规则，监测AutoIt启动器、MSI脚本滥用，以及Lilith RAT、Remcos RAT、Quasar RAT和RftRAT等已知远程访问木马家族。
- 尽可能在电子邮件和即时通信网关阻止或隔离来自外部发件人的可执行附件和MSI安装程序。
- 监控云端审计日志中的可疑操作，包括通过关联用户账号的设备管理服务发起的远程重置和重复位置查询。
- 定期开展针对本地诱饵（如税务机构通知）的钓鱼演练。为处理脱北者和活动人士相关敏感工作的员工提供及时培训。
- 制定账号接管快速响应预案，涵盖谷歌账号、KakaoTalk桌面客户端和移动设备重置，并通过桌面推演演练该预案。
- 建立渠道，让联系人报告看似由本机构员工发出的可疑消息和文件，并将此类报告列为优先处理事项。
简要概览
- 调查人员将一起针对韩国人的新行动与朝鲜关联的Konni组织联系起来。
- 攻击者窃取谷歌凭据，通过“查找中心”追踪安卓设备并将其恢复出厂设置，随后滥用KakaoTalk桌面会话向联系人传播恶意软件。
- 受害者包括一名为朝鲜脱北者学生提供支持的咨询师和一名人权活动人士；一起事件中恶意消息发给了30多名联系人，另一起则发给了36人。
- 行动使用了冒充国税厅的鱼叉式网络钓鱼、已签名MSI安装程序、AutoIt脚本以及Lilith RAT、Remcos RAT、Quasar RAT和RftRAT等远程访问工具。
- 研究人员称，这是首个得到确认的案例：朝鲜关联行动人员利用遭入侵的谷歌账号，通过“查找中心”下达远程设备指令。
- 谷歌表示，这些活动滥用了合法账号功能和被盗凭据，并非利用安卓或“查找中心”漏洞；该公司敦促用户启用两步验证或通行密钥。
- 韩国警方正在调查此案。安全团队建议加强身份保护、设备安全，并谨慎核实通过即时通信工具收到的文件。
- 高风险用户应加入高级保护计划，审查谷歌和KakaoTalk的已登录设备，并保留离线备份，以减少设备重置造成的损失。
