北韓行動人員如何利用受信任的應用程式攻擊南韓民眾
南韓鑑識調查人員指出，北韓國家支持的網路行動人員發動協同攻擊，將日常工具變成攻擊管道。這個與平壤陣營行動者 Konni 群集有關的團體，竊取 Google 帳戶憑證，透過 Google 的 Find Hub 服務遠端控制 Android 手機和平板電腦，接著劫持 KakaoTalk 帳戶，在真實聯絡網絡中散播惡意軟體。研究人員表示，這是首起經確認的案例：與北韓有關的行動者入侵 Google 帳戶，利用內建管理功能遠端控制智慧裝置。
目錄
Genians Security Center 的安全分析師表示，攻擊者先假冒稅務官員植入惡意軟體。經過一段時間的低調監控後，入侵者登入竊得的 Google 帳戶。透過 Find Hub 這項消費者安全工具（可讓使用者尋找並保護遺失的裝置），他們追蹤手機位置並下達遠端恢復原廠設定指令。清除資料不僅抹去個人資料，也會暫時讓警示無法送達，這有助於攻擊的下一階段順利進行。
由於目標無法接聽電話或收到通知，行動轉而利用仍保持登入狀態的 KakaoTalk 桌面版用戶端。攻擊者冒用受害者姓名並利用可信任的聊天紀錄，向聯絡人清單傳送偽裝成紓壓程式的惡意檔案。這種手法透過社交信任散播惡意軟體；許多受害者因無法使用手機或忙於復原裝置，因而延遲發現遭到攻擊。
Google 表示，這些行動濫用了有效的帳戶存取權與合法功能，並非利用 Android 或 Find Hub 的漏洞。該公司呼籲使用者啟用兩步驟驗證或通行密鑰；高風險人士則應加入進階防護計畫。
攻擊過程
這次行動分階段進行，手法結合電子郵件誘騙、帳戶竊取、雲端裝置控制及通訊軟體濫用。這是攻擊者「就地取材」的案例，也就是將內建服務和受信任的應用程式變成攻擊工具。調查人員詳述的兩起事件，包括 9 月 5 日和 9 月 15 日的案例，顯示只要一個帳戶遭到入侵，這種手法就能迅速在個人與職場人際圈中散播惡意軟體。
步驟一：魚叉式網路釣魚與初步入侵
入侵始於鎖定特定對象的訊息，內容冒充南韓國稅廳。受害者受騙開啟看似合法的附件或安裝程式，其中包括以簽署過的 MSI 安裝程式打包的檔案。這些檔案暗中執行指令碼，建立持續性並下載遠端存取工具。分析人員觀察到多種可完全控制 Windows 系統的惡意軟體，包括 Lilith RAT、Remcos RAT、Quasar RAT 和 RftRAT，以及以 AutoIt 為基礎的載入程式。惡意軟體會進行偵察、竊取瀏覽器儲存的憑證並監控活動，為竊取帳戶資料預作準備。
目標包括與北韓脫北者合作的人士及人權倡議者。有些誘餌被包裝成有助紓壓的程式。攻擊者依照收件者的身分與關切事項量身打造訊息，提高對方開啟檔案的機率，藉此在個人電腦中取得立足點。
步驟二：接管帳戶並濫用 Find Hub
植入惡意軟體後，行動人員竊取 Google、Naver 等服務的帳戶憑證。他們利用竊得的 Google 登入資料存取 Find Hub。這項服務可讓裝置持有人查詢手機最後已知位置，並下達播放音效或將裝置恢復原廠設定等指令。入侵者利用位置查詢確認目標當時沒有在使用手機，接著觸發遠端重設。調查人員也發現跡象顯示，攻擊者在部分案例中刪除了安全警示電子郵件並清空信箱垃圾桶，以掩蓋行蹤。他們多次下達重設指令，妨礙受害者復原並減少手機上留下的證據。
裝置重設後，持有人便無法查看新通知，包括聯絡人詢問可疑檔案的緊急訊息。重設也會移除可能揭露入侵行動的線索，讓攻擊者有時間從另一部仍登入受害者帳戶的裝置執行下一步。
步驟三：利用 KakaoTalk 大量散播惡意軟體
KakaoTalk 在南韓幾乎人人都用，許多使用者會讓桌面版保持登入。行動裝置重設後，攻擊者轉而利用受害者的 KakaoTalk 電腦版用戶端，迅速散布惡意檔案。訊息以受害者的真實姓名和個人照片發送，通常附上簡短文字和附件。收件者因信任寄件者而開啟檔案，導致裝置感染並擴大遭入侵的電腦數量。一起案例中，數分鐘內就有超過 30 名聯絡人收到訊息；另一起案例則是在十天後，透過另一個遭入侵的帳戶向大量對象同步散播。
誰是這波行動的幕後黑手
這些行動被歸因於 Konni 群集。這個與北韓有關的網路間諜網絡，與外界普遍追蹤的 Kimsuky 和 APT37 等組織有所重疊。不同資安業者對相同或密切合作的行動者使用不同名稱，包括 Earth Imp、Opal Sleet、Osmium、TA406 和 Vedalia。這些團隊在多次行動中共用基礎設施和工具，目標涵蓋南韓政府機關、教育界、媒體、公民社會及加密貨幣社群。
北韓行動人員過去曾鎖定手機發動攻擊。例如，研究人員記錄過偽裝成工具程式或安全應用程式的 Android 間諜軟體，具備錄音、擷取螢幕畫面及外傳檔案等功能。這次行動的特殊之處，在於濫用以帳戶為基礎的裝置管理功能清除手機，隨即轉向桌面通訊軟體工作階段進一步散播。這種組合顯示，行動者在多個平台之間具備成熟的協調能力，而非單一惡意軟體各自運作。
為何 Find Hub 遭濫用是個轉折點
多年來，與北韓有關的組織一直將客製化惡意軟體、竊得的憑證和合法工具混合使用。濫用 Find Hub 讓威脅升高，因為這項消費者安全功能被變成遠端清除工具和干擾手段。重設手機會使裝置失去作用、刪除間諜活動資料痕跡，並在警示最重要的時刻封鎖不同管道傳來的警告。這就為利用已登入的桌面工作階段迅速散播惡意軟體創造了機會。
這種手法也讓事件應變更加複雜。重設會讓部分原本儲存在手機上的遙測資料和證據消失。相關活動分散在裝置、雲端帳戶和桌面用戶端之間。防守方必須從這三處蒐集資料，才能完整重建事件經過。Genians 分析師形容，這種手法是與北韓有關的進階行動的一個重大轉折點。
Genians Security Center 在相關事件報告中寫道：
在先前已知的國家支持 APT 行動案例中，將裝置癱瘓與透過帳戶散播惡意軟體結合的做法前所未見。
受害者遭遇與人身影響
入侵者並非隨機挑選目標。調查人員表示，一名協助北韓脫北者學生的心理諮商師，手機於 9 月 5 日遭到重設。不久後，這名諮商師的 KakaoTalk 帳戶便被用來向服務對象傳送標示為紓壓程式的檔案。數名收件者開啟檔案後，裝置便遭到感染。攻擊者選擇的通訊軟體和訊息內容，都利用了收件者的信任，並切合他們的生活需求。
十天後，一名關注北韓議題的人權運動者也遭遇類似事件。其 Android 裝置透過 Find Hub 遭到遠端重設，接著該運動者的 KakaoTalk 帳戶向 36 名熟人傳送惡意檔案。兩起事件中，受害者的手機在最初幾個關鍵小時都無法接聽電話或收到警示，導致懷疑有異狀的聯絡人無法及時提醒。
對部分受害者來說，手機資料遭清除後，照片、文件、聯絡人和工作成果也一併消失。調查人員還在遭感染的電腦上發現具備網路攝影機和麥克風控制能力的惡意軟體模組，因此憂心攻擊者可能利用攝影機確認受害者是否在場，再下達重設指令。南韓境內與脫北者及公民社會團體合作的人士，本來就面臨特殊風險。這波行動顯示，日常數位生活可能如何被用來反過來攻擊他們，造成個人和職場上的損失。
專家與官方回應
南韓警方已針對 9 月發生的兩起事件展開調查。分析人員表示，相關程式碼和技術符合過去與北韓陣營組織有關的行動模式。調查人員呼籲可能遭鎖定的對象，包括諮商師和運動者，徹底檢查桌面與行動裝置環境，確認帳戶是否遭到入侵。
資安團隊指出，攻擊者不需要利用 Android 或 Find Hub 的程式漏洞，只需要有效憑證及對受信任應用程式的存取權。研究人員建議服務供應商，針對遠端重設等敏感操作加入即時驗證步驟；通訊軟體也應在桌面用戶端短時間內試圖向大量聯絡人傳送可執行檔時，提供更強烈的警示或延遲傳送。
如何保護 Google 與 KakaoTalk 帳戶
這波行動仰賴竊得的登入資料、持續登入的桌面工作階段，以及使用者通常信任的功能。採取以下措施可降低風險，讓帳戶更難遭到濫用：
- 為 Google 帳戶啟用兩步驟驗證，並優先使用通行密鑰或安全金鑰。運動者、記者等高風險人士應加入 Google 進階防護計畫。
- 開啟 Google 帳戶設定並執行安全性檢查。移除不熟悉的裝置和工作階段，撤銷不認識的第三方存取權，並檢查復原電話號碼和電子郵件。
- 查看 Find Hub 或「尋找我的裝置」設定中的帳戶裝置清單，確認每部裝置都為本人所有。確保每部裝置都以高強度 PIN 碼鎖定，且遠端重設需要經過身分驗證。
- 檢查電子郵件安全性。查看 Gmail 是否有可疑的篩選器、轉寄規則或委派存取權。攻擊者有時會新增規則來隱藏警示。
- 避免在共用或未受管理的電腦瀏覽器中儲存密碼。使用信譽良好的密碼管理工具，並以主密碼或安全金鑰鎖定。
- 保持 Android、Windows、macOS 和 KakaoTalk 為最新版本。檢查 KakaoTalk 設定，確認哪些電腦已登入帳戶，並登出所有不認識的裝置。
- 對來路不明的檔案或應用程式安裝程式保持警覺，即使它們來自信任的聯絡人也一樣。開啟任何檔案前，先透過其他管道致電寄件者確認。
- 為重要照片和文件保留離線備份。未使用時保持中斷連線的外接備份不會受到裝置重設影響。
- 啟用登入警示並仔細閱讀。若收到可疑警示，不要點擊其中的連結；請在新的瀏覽器工作階段中直接前往帳戶設定並檢查活動。
懷疑自己成為攻擊目標時的立即處置
- 使用自己掌控且乾淨的裝置，更改 Google 和 KakaoTalk 密碼，然後啟用兩步驟驗證或通行密鑰。
- 開啟 Google 帳戶，檢查近期安全性事件，並登出所有其他工作階段。撤銷任何不熟悉的應用程式權杖。
- 在 Gmail 中移除異常的篩選器或轉寄規則。在 KakaoTalk 中強制登出所有電腦，只重新授權自己使用的裝置。
- 如果手機已遭重設，請將它視為全新裝置。還原資料前先更改帳戶密碼並確認復原資訊，且只從可信任的備份還原。
- 提醒聯絡人，冒用你名義傳送的訊息可能含有惡意內容。請他們不要開啟收到的檔案，並執行安全掃描。
- 盡可能保留證據。不要清除電腦資料。為可疑活動紀錄截圖，然後聯絡當地網路犯罪單位或可信任的資安團隊。
組織現在應採取的措施
在南韓設有員工，或從事與北韓相關工作的組織，應假設自己是有吸引力的攻擊目標。結合身分安全與端點監控的重點防護計畫，有助於降低風險並加快應變。
- 要求所有 Google Workspace 和身分識別服務供應商帳戶啟用多重要素驗證，並採用通行密鑰或硬體安全金鑰等防釣魚方式。
- 強化瀏覽器安全設定，並在未受管理的環境中停用自動儲存密碼功能。為員工提供企業級密碼管理工具。
- 部署端點偵測與回應系統，設定以行為為基礎的規則，偵測 AutoIt 載入程式、濫用 MSI 指令碼，以及 Lilith RAT、Remcos RAT、Quasar RAT 和 RftRAT 等已知遠端存取木馬家族。
- 盡可能在電子郵件和通訊軟體閘道封鎖或隔離外部寄件者傳來的可執行檔附件及 MSI 安裝程式。
- 監控雲端稽核紀錄中的可疑行為，包括透過與使用者帳戶連結的裝置管理服務進行遠端重設，以及反覆查詢裝置位置。
- 定期進行魚叉式網路釣魚演練，並針對稅務機關通知等在地誘餌設計情境。為處理脫北者和運動者敏感事務的員工提供即時訓練。
- 建立帳戶遭接管時的快速應變手冊，涵蓋 Google 帳戶、KakaoTalk 桌面用戶端及行動裝置重設，並透過桌上演練熟悉流程。
- 建立管道，讓聯絡人通報看似由員工傳送的可疑訊息和檔案，並將這類通報列為優先處理事項。
重點一覽
- 調查人員將一波針對南韓民眾的新攻擊行動，連結至與北韓陣營有關的 Konni 群集。
- 攻擊者竊取 Google 憑證，利用 Find Hub 追蹤並恢復原廠設定 Android 裝置，接著濫用 KakaoTalk 桌面工作階段，向聯絡人散播惡意軟體。
- 受害案例包括一名協助北韓脫北者學生的諮商師，以及一名人權運動者；其中一起事件向超過 30 名聯絡人傳送惡意訊息，另一起則傳給 36 人。
- 行動使用冒充國稅廳的魚叉式網路釣魚、簽署過的 MSI 安裝程式、AutoIt 指令碼，以及 Lilith RAT、Remcos RAT、Quasar RAT 和 RftRAT 等遠端存取工具。
- 研究人員稱，這是首起經確認的案例：與北韓有關的行動者利用遭入侵的 Google 帳戶，透過 Find Hub 下達遠端裝置指令。
- Google 表示，這些行動濫用合法帳戶功能和竊得的憑證，並非利用 Android 或 Find Hub 漏洞，並呼籲使用者採用兩步驟驗證或通行密鑰。
- 南韓警方正在調查。資安團隊建議加強身分保護、強化裝置安全，並謹慎查證透過通訊軟體收到的檔案。
- 高風險使用者應加入進階防護計畫、檢查 Google 和 KakaoTalk 的登入裝置，並保留離線備份，以減輕裝置重設造成的損失。
