نشر الفريق البحثي لكاسبرسكي لاب تقريرا يحلل فيه حملة تجسس الكتروني نشطة تستهدف بالدرجة الأولى المراكز البحثية في كوريا الجنوبية._x000D_ وتعد الحملة التي أطلق عليها اسم Kimsuky محدودة ومستهدفة للغاية. وفقا للتحليل، اهتم المهاجمون باستهداف 11 مؤسسة تقع في كوريا الجنوبية ومؤسستين في الصين، منها معهد سيجونغ، المعهد الكوري للتحليلات الدفاعية (KIDA)، وزارة التوحيد الكورية الجنوبية، Hyundai Merchant Marine ومنظمة مؤيدي التوحد الكوري._x000D_ وتعود العلامات الأولى لهذا الخطر إلى الثالث من أبريل 2013، كما أن النماذج الأولى لبرناج حصان طروادة Kimsuky ظهرت في 5 مايو 2013. ويتضمن هذا البرنامج التجسسي البدائي عدة أخطاء في الترميز ويتواصل مع عدة أجهزة مصابة عبر الشبكة البلغارية المتركزة في خادم بريد مجاني (mail.bg)._x000D_ على الرغم من أن آلية التوصيل الأولية لا تزال مجهولة، يرى باحثو كاسبرسكي لاب أن برنامج Kimsuky ينتشر عبر الرسائل الالكترونية التصيدية المستهدفة وله القدرة على القيام بالإجراءات التجسسية التالية: التقاط النقرات على لوحة المفاتيح، تجميع القوائم والأدلة، التحكم على بعد وسرقة المستندات HWP (المتعلقة بتطبيق كوري جنوبي لمعالجة الكلمات من حزمة Hancom Office، المستخدمة بكثافة من قبل السلطات المحلية). ويستخدم المهاجمون إصدارا معدلا من تطبيق TeamViewer للوصول عن بعد ليعمل بصفة برنامج خبيث يعترض الملفات من الأجهزة المصابة. _x000D_ ويتضمن Kimsuky برنامجا خبيثا مصمما لسرقة ملفات HPW، ما يدل على أن هذه المستندات من بين أهم أهداف المجموعة._x000D_ وتتيح الأدلة التي وجدها خبراء كاسبرسكي لاب الجزم بأن مصدر الحملة كوري شمالي. أولا لأن الأهداف تعبر عن نفسها – حيث تجري الجامعات الكورية الجنوبية أبحاثا حول القضايا الدولية وتقوم بوضع سياسات دفاعية للحكومة؛ شركة النقل البحري الوطنية؛ المنظمات المؤيدة للتوحد الكوري._x000D_ ثانيا- وجود كلمات كورية ضمن خط التعليمات البرمجية (على سبيل المثال، يمكن ترجمة بعضها بالهجمة أو الإتمام)._x000D_ ثالثا- عنوانان بريديان استخدما في استلام تقارير حول الوضع ونقل بيانات النظام المصاب بواسطة المرفقات وهما [email protected] و [email protected] تم تسجيلهما باسمين تضمن كل منهما على "kim": kimsukyang وKim asdfa. على الرغم من أن بيانات التسجيل لا توفر معلومات حول المهاجمين، إلا أن عناوين IP لهم تشير إلى ضلوعهم في ذلك: هناك 10 عناوين IP وجميعها تقع في نطاقات ضمن Jilin Province Network و Liaoning Province Network في الصين. ويعتقد أن موفري خدمة الانترنت في هاتين الولايتين يقومون بتوفير الخدمة في بعض أجزاء كوريا الشمالية._x000D_ وقد كشفت منتجات كاسبرسكي لاب وعطلت مفعول هذه التهديدات المصنفة تحت اسم Trojan.Win32.Kimsuky، واكتشفت مكونات TeamViewer المعدلة والمصنفة تحت اسم Trojan.Win32.Patched.ps._x000D_ لقراءة تقرير كاسبرسكي لاب حول حملة Kimsuky على موقع Securelist.