Cinq groupes qui ciblent la Corée du Sud,
décrits à partir de sources publiques
Nous n'avons repris que ce qui figure dans les pages de groupes MITRE ATT&CK, les avis publiés par différents gouvernements et les rapports d'éditeurs de sécurité.
Pour chaque groupe, vous trouverez les techniques les plus utilisées, ce qu'il faut chercher dans vos propres journaux et comment vérifier qu'elles sont réellement bloquées.
Vue d'ensemble
MITRE ATT&CK classe ces cinq groupes comme liés au gouvernement nord-coréen.
Genox n'a procédé à aucune attribution, et les incidents mentionnés sont uniquement ceux qui figurent dans des sources publiques.
| Groupe | ID ATT&CK | Objectif principal | Cibles liées à la Corée du Sud selon les sources publiques | Source publique de référence |
|---|---|---|---|---|
| Lazarus Group | G0032 | Espionnage, vol de fonds, destruction | Finance, cryptoactifs, défense et aéronautique. MITRE mentionne aussi des liens avec des opérations comme DarkSeoul et Ten Days of Rain | CISA AA22-108A |
| Kimsuky | G0094 | Espionnage | Administrations, think tanks, spécialistes de la diplomatie, de la sécurité et de la Corée du Nord, médias | CISA AA20-301A, avis conjoint Corée du Sud et États-Unis (juin 2023) |
| APT37 | G0067 | Espionnage | Principalement la Corée du Sud. Attaques de point d'eau (watering hole) via des sites web sud-coréens | FireEye (2018), Volexity (2021) |
| Andariel | G0138 | Espionnage, vol de fonds | Administrations, armée, entreprises sud-coréennes, défense, aéronautique, nucléaire et ingénierie | CISA AA24-207A (avec le NIS et la Police nationale coréenne) |
| APT38 | G0082 | Vol de fonds | Banques, plateformes d'échange de cryptoactifs, systèmes de paiement. Rien ne permet de dire qu'il vise spécifiquement la Corée du Sud, mais le secteur financier sud-coréen fait partie de la même population de cibles | CISA AA20-239A |
Date de référence : 2026-11-07. Nous avons revérifié les pages de groupes MITRE ATT&CK à cette date. La liste des techniques et les autres noms changent à chaque version d'ATT&CK ; consultez la source avant de réutiliser ces informations.
Lazarus Group
MITRE le décrit comme un groupe lié au Bureau général de reconnaissance (RGB), actif depuis au moins 2009. MITRE précise aussi que, les organisations nord-coréennes partageant personnel et outils, le nom « Lazarus » sert souvent à désigner l'ensemble de l'activité d'origine nord-coréenne. Chaque rapport lui donne un périmètre différent : ne concluez pas qu'il s'agit du même acteur sur la seule foi du nom.
Autres noms
Cibles principales
Établissements financiers, utilisateurs de cryptoactifs et salariés de la défense et de l'aéronautique. Lors de l'Operation Dream Job (2019 et 2020), le groupe a approché des salariés de ces secteurs avec de fausses offres d'emploi et des comptes LinkedIn.
Accès initial
Le cas typique est le spearphishing avec une offre d'emploi comme appât. L'avis CISA AA22-108A décrit comment des postes très bien rémunérés étaient proposés à des administrateurs système et à des profils DevOps d'entreprises blockchain, qu'on amenait ensuite à télécharger une application malveillante déguisée en application de trading de cryptoactifs (TraderTraitor). Une fonction de mise à jour intégrée à l'application télécharge et exécute ensuite d'autres logiciels malveillants.
L'avis conjoint publié en novembre 2023 par le NCSC britannique et le Service national de renseignement coréen (NIS) porte sur une attaque de la chaîne d'approvisionnement qui passait par le site d'un média pour exploiter une vulnérabilité d'un logiciel sud-coréen d'authentification de sécurité (MagicLine4NX, CVE-2023-45797). L'avis parle uniquement d'acteurs liés à la Corée du Nord et ne nomme aucun groupe.
| ID de technique | Technique | Tactique |
|---|---|---|
| T1566.001 | Spearphishing Attachment | Accès initial |
| T1566.002 | Spearphishing Link | Accès initial |
| T1059.001 | PowerShell | Exécution |
| T1543.003 | Windows Service (création ou modification) | Persistance |
| T1547.001 | Registry Run Keys · Startup Folder | Persistance |
| T1110.003 | Password Spraying | Accès aux identifiants |
| T1557.001 | LLMNR/NBT-NS Poisoning and SMB Relay | Accès aux identifiants |
| T1560.001 | Archive via Utility | Collecte |
| T1041 | Exfiltration Over C2 Channel | Exfiltration |
| T1485 | Data Destruction | Impact |
Ce qu'il faut vérifier côté détection
- Un PowerShell ou un cmd qui démarre juste après l'exécution d'une archive ou d'un installeur reçu par messagerie ou par e-mail. Examinez la relation parent et enfant dans l'arbre de processus de l'EDR ou dans l'événement Sysmon 1 (création de processus).
- L'enregistrement de nouveaux services (événement 7045 du journal System) et les modifications de clés Run (événement Sysmon 13). Pour un service apparu en dehors des heures ouvrées, vérifiez le chemin du binaire et la signature, même si le nom paraît crédible.
- Des échecs de connexion en série sur plusieurs comptes depuis une même source. Pour repérer un password spraying, il faut croiser les événements 4625 et 4771 du journal de sécurité Windows avec les journaux de connexion du service d'identité cloud.
- Les postes qui répondent à LLMNR (UDP 5355) ou NBT-NS (UDP 137) sur le réseau. Si vous ne vous en servez pas, les désactiver par stratégie de groupe est plus sûr que de chercher à les détecter.
- Des processus de logiciels de sécurité courants en Corée du Sud, comme les agents de certificat ou de signature électronique, qui lancent un shell ou se connectent à une adresse externe inconnue. Les attaques de la chaîne d'approvisionnement entrent justement par ce genre de programme légitime.
Kimsuky
Groupe d'espionnage actif depuis au moins 2012. Il visait d'abord des administrations, des think tanks et des spécialistes sud-coréens, puis a élargi ses cibles à l'ONU et aux secteurs public, éducatif et industriel des États-Unis, du Japon, de la Russie et de l'Europe. MITRE cite des sources qui lui attribuent l'intrusion de 2014 chez Korea Hydro & Nuclear Power (KHNP).
Autres noms
Cibles principales
Les personnes et organisations qui travaillent sur la diplomatie et la sécurité de la péninsule coréenne, la politique nucléaire et les sanctions contre la Corée du Nord. L'avis conjoint sud-coréen et américain de juin 2023 rassemble des cas où le groupe s'est fait passer pour des journalistes, des chercheurs ou des responsables publics pour viser des think tanks, des universités et des médias.
Accès initial
Les cas publiés suivent souvent le même schéma : un premier e-mail sans fichier malveillant, qui sollicite une interview ou un avis d'expert. Si la cible répond, le message suivant contient un document HWP ou Office, un fichier LNK compressé ou un lien vers un stockage cloud. Le groupe utilise aussi souvent des liens de vol de compte qui imitent des alertes de sécurité à la connexion. L'avis publié en 2024 par le FBI et d'autres agences décrit des envois usurpant des domaines dont la politique DMARC était trop permissive.
| ID de technique | Technique | Tactique |
|---|---|---|
| T1566.001 | Spearphishing Attachment (HWP, Office, LNK compressé) | Accès initial |
| T1566.002 | Spearphishing Link | Accès initial |
| T1204.002 | Malicious File (exécuté par l'utilisateur) | Exécution |
| T1059.001 | PowerShell | Exécution |
| T1218.005 | Mshta | Contournement des défenses |
| T1547.001 | Registry Run Keys · Startup Folder | Persistance |
| T1053.005 | Scheduled Task | Persistance |
| T1003.001 | LSASS Memory | Accès aux identifiants |
| T1555.003 | Credentials from Web Browsers | Accès aux identifiants |
| T1102.002 | Bidirectional Communication (services web) | Commande et contrôle |
Ce qu'il faut vérifier côté détection
- mshta.exe qui se connecte à une URL externe ou qui s'exécute sous explorer.exe via un LNK. Sur un poste utilisateur ordinaire, mshta ne sert presque jamais : un simple comportement de référence suffit à le faire ressortir.
- Hangul (Hwp.exe) ou un processus Office qui lance cmd, PowerShell ou wscript comme processus enfant.
- Les tâches planifiées créées avec des droits utilisateur. Regardez le nom de la tâche et la commande exécutée dans l'événement 4698 du journal de sécurité ou dans le journal opérationnel Microsoft-Windows-TaskScheduler.
- Des processus autres que les navigateurs qui lisent les fichiers Login Data et Cookies de Chrome ou d'Edge, ainsi que les extensions de navigateur nouvellement installées.
- Sur la passerelle de messagerie, les e-mails d'expéditeurs externes dont le nom affiché est celui d'un haut responsable ou d'un journaliste. Vérifiez aussi que la politique DMARC de votre domaine n'est pas restée à p=none.
- La combinaison d'un nouveau compte administrateur local (4720, 4732) et de l'activation du Bureau à distance. La modification de la valeur de registre fDenyTSConnections permet aussi de la repérer.
APT37
Groupe d'espionnage actif depuis au moins 2012, dont la cible principale est la Corée du Sud selon MITRE. Une activité a aussi été signalée au Japon, au Vietnam, en Russie et au Moyen-Orient, entre autres. Plusieurs rapports décrivent la même méthode : compromettre des sites web sud-coréens pour atteindre leurs visiteurs.
Autres noms
Cibles principales
D'après la description de MITRE, le pays principalement visé est la Corée du Sud. Dans le cas Volexity présenté plus bas, les cibles étaient les lecteurs d'un média spécialisé sur la Corée du Nord. Des opérations menées de 2016 à 2018, comme Daybreak, Erebus, Golden Time et FreeMilk, sont rattachées à ce groupe.
Accès initial
Attaques de point d'eau, diffusion via des sites de torrents, spearphishing avec pièces jointes HWP et exploitation de vulnérabilités de navigateurs et de logiciels de bureautique. Volexity a rapporté qu'en 2021, du code d'exploitation de vulnérabilités d'Internet Explorer (CVE-2020-1380, CVE-2021-26411) avait été inséré sur le site de Daily NK, un média spécialisé sur la Corée du Nord, puis que le malware BLUELIGHT, qui communique via Microsoft Graph API, avait été utilisé.
| ID de technique | Technique | Tactique |
|---|---|---|
| T1189 | Drive-by Compromise (point d'eau) | Accès initial |
| T1566.001 | Spearphishing Attachment | Accès initial |
| T1203 | Exploitation for Client Execution | Exécution |
| T1059.005 | Visual Basic | Exécution |
| T1547.001 | Registry Run Keys · Startup Folder | Persistance |
| T1548.002 | Bypass User Account Control | Élévation de privilèges |
| T1055 | Process Injection | Contournement des défenses |
| T1027.003 | Steganography | Contournement des défenses |
| T1123 | Audio Capture | Collecte |
| T1102.002 | Bidirectional Communication (cloud et réseaux sociaux) | Commande et contrôle |
Ce qu'il faut vérifier côté détection
- Un processus de navigateur qui lance un exécutable ou un moteur de scripts comme processus enfant. En fonctionnement normal, cela n'arrive presque jamais, d'où une règle qui produit peu de faux positifs.
- L'usage restant du mode Internet Explorer et de mshtml. En extrayant de l'inventaire les postes qui utilisent le mode IE, vous fixerez plus facilement les priorités de correctifs.
- Des processus autres que les navigateurs qui se connectent à des API cloud comme Dropbox, pCloud, Box, Yandex ou Microsoft Graph API. Cela n'a de sens que si vous rapprochez ces connexions du nom de processus dans les journaux du proxy ou du DNS.
- Un processus qui télécharge un fichier image puis crée aussitôt une zone mémoire exécutable (charge utile cachée par stéganographie).
- Les connexions réseau qui apparaissent après l'ouverture d'un document HWP et les nouveaux exécutables dans les dossiers temporaires.
Andariel
MITRE considère Andariel comme une sous-unité de Lazarus Group et indique que, depuis au moins 2009, il vise surtout les administrations, l'armée et les entreprises sud-coréennes. En plus d'attaques destructrices, il a mené des opérations à but lucratif contre des distributeurs automatiques, des banques et des plateformes d'échange de cryptoactifs. L'avis CISA AA24-207A de juillet 2024 a été publié conjointement par des agences américaines et britanniques avec le NIS et la Police nationale coréenne.
Autres noms
Cibles principales
D'après AA24-207A, les cibles prioritaires sont la défense, l'aérospatial, le nucléaire et l'ingénierie, suivis de la santé et de l'énergie. Le même avis indique que les revenus tirés de rançongiciels visant des établissements de santé américains ont servi à financer les activités d'espionnage.
Accès initial
La méthode principale consiste à exploiter des vulnérabilités connues sur des serveurs exposés à Internet pour y déposer des web shells. L'avis cite notamment Log4j (CVE-2021-44228), Apache ActiveMQ (CVE-2023-46604) et TeamCity (CVE-2023-42793). Il mentionne aussi du phishing avec des fichiers LNK ou HTA placés dans une archive ZIP.
| ID de technique | Technique | Tactique |
|---|---|---|
| T1592.002 | Gather Victim Host Information: Software | Reconnaissance |
| T1190 | Exploit Public-Facing Application (AA24-207A) | Accès initial |
| T1189 | Drive-by Compromise | Accès initial |
| T1566.001 | Spearphishing Attachment | Accès initial |
| T1203 | Exploitation for Client Execution | Exécution |
| T1505.003 | Web Shell (AA24-207A) | Persistance |
| T1027.003 | Steganography | Contournement des défenses |
| T1049 | System Network Connections Discovery | Découverte |
| T1057 | Process Discovery | Découverte |
| T1105 | Ingress Tool Transfer | Commande et contrôle |
Les techniques sans mention proviennent de la page du groupe chez MITRE ; celles signalées entre parenthèses, de l'avis de la CISA.
Ce qu'il faut vérifier côté détection
- Des processus de serveurs Java comme Tomcat, ActiveMQ ou TeamCity qui lancent cmd, PowerShell ou sh. Le moment où le compte du serveur web exécute un shell est souvent le tout premier signal.
- Les fichiers jsp, aspx ou php nouveaux ou modifiés dans la racine web. Sans surveillance de l'intégrité des fichiers, commencez par comparer l'historique des déploiements aux dates de modification.
- Les séquences de commandes citées dans l'avis : netstat pour lister les connexions, curl pour télécharger des fichiers dans un dossier temporaire, puis vssadmin pour créer un cliché instantané de volume et copier NTDS.dit.
- L'exécution d'outils à double usage comme Mimikatz, ProcDump, AdFind, Impacket ou PLINK. Les comparer à la liste des outils que vos administrateurs utilisent réellement réduit les faux positifs.
- Des exécutables packés avec VMProtect ou Themida, des rebonds RDP entre serveurs internes, puis des transferts volumineux vers un stockage cloud ou un serveur FTP.
APT38
Groupe à but lucratif lié au Bureau général de reconnaissance. Depuis au moins 2014, il s'en prend à des banques, des établissements financiers, des casinos, des plateformes d'échange de cryptoactifs, des terminaux SWIFT et des distributeurs automatiques dans au moins 38 pays. Le cas le plus cité est celui de la Banque centrale du Bangladesh en 2016. Les sources publiques ne désignent pas la Corée du Sud en particulier, mais nous l'avons inclus parce que les établissements financiers et les prestataires de cryptoactifs sud-coréens font partie de la même population de cibles.
Autres noms
Cibles principales
Les serveurs de switch de paiement et les terminaux SWIFT des banques, les processeurs de paiements interbancaires et les plateformes d'échange de cryptoactifs. La page du groupe chez MITRE mentionne aussi une compromission de la chaîne d'approvisionnement logicielle via des paquets npm.
Accès initial
CISA AA20-239A cite le spearphishing avec des pièces jointes déguisées en candidatures, les attaques de point d'eau, les vulnérabilités d'applications exposées à Internet, des comptes légitimes volés, des prestataires ayant une relation d'affaires avec la cible et les services d'accès à distance externes. Une fois dans le réseau, le groupe a utilisé le malware FASTCash, qui intercepte les messages d'autorisation ISO 8583 sur le switch de paiement pour approuver des retraits d'espèces aux distributeurs.
| ID de technique | Technique | Tactique |
|---|---|---|
| T1195.001 | Compromise Software Dependencies and Development Tools | Accès initial |
| T1566.001 | Spearphishing Attachment | Accès initial |
| T1189 | Drive-by Compromise | Accès initial |
| T1059.001 | PowerShell | Exécution |
| T1543.003 | Windows Service (création ou modification) | Persistance |
| T1553.005 | Mark-of-the-Web Bypass | Contournement des défenses |
| T1070.006 | Timestomp | Contournement des défenses |
| T1565.002 | Transmitted Data Manipulation | Impact |
| T1657 | Financial Theft | Impact |
| T1485 | Data Destruction | Impact |
Ce qu'il faut vérifier côté détection
- Les nouveaux processus et bibliothèques partagées sur les serveurs de switch de paiement (AIX et Linux compris). Ces serveurs changent rarement, ce qui se prête bien à une approche par liste d'autorisation.
- Les connexions en dehors des heures ouvrées sur les terminaux SWIFT et les serveurs de paiement, et les sessions administrateur ouvertes depuis une origine inhabituelle.
- L'apparition de nouvelles exceptions de pare-feu pour les ports 443, 6443, 8443 et 9443. Ce schéma figure dans AA20-239A, vous pouvez donc le confronter directement aux enregistrements de gestion des changements.
- Des scripts postinstall qui se connectent à l'extérieur ou lancent un shell pendant un npm install sur les postes de développement et les serveurs de build.
- L'exécution de fichiers contenus dans des images disque ISO, IMG ou VHD (contournement de MotW) et l'effacement des journaux d'événements (événement 1102 du journal de sécurité).
Précautions de lecture
Les informations sur les groupes constituent un bon point de départ, mais les transposer telles quelles en règles de détection laisse des angles morts.
Chaque éditeur nomme et délimite les groupes à sa façon
MITRE ajoute lui-même, sur les cinq pages de groupe, une note qui revient à dire que les définitions des groupes nord-coréens se recoupent largement. Andariel est parfois présenté comme une sous-unité de Lazarus, et APT38 est rattaché à BlueNoroff sous un même nom. Se préparer technique par technique prête moins à confusion que de raisonner par nom de groupe.
Nous n'avons volontairement pas inclus d'IoC
Les hashs, adresses IP et domaines changent en quelques semaines. Si vous en avez besoin, récupérez directement les fichiers STIX et les règles YARA joints aux avis cités. Cette page se concentre sur des schémas de comportement qui restent valables plus longtemps.
Nous n'avons retenu qu'une partie des techniques
Chaque groupe compte des dizaines de techniques enregistrées dans ATT&CK. Nous en avons retenu 6 à 10 pour montrer l'enchaînement, de l'accès initial jusqu'à l'impact. La liste complète peut être téléchargée sous forme de couche ATT&CK Navigator depuis la page du groupe chez MITRE.
Sans journaux, ces points de détection ne servent à rien
Lors de nos audits, nous trouvons souvent Sysmon installé sur une partie des serveurs seulement, ou la journalisation des blocs de script PowerShell (4104) désactivée. Avant de passer aux points ci-dessus, vérifiez que ces journaux sont réellement collectés.
Ces techniques sont-elles bloquées dans votre environnement ?
Lors de la validation proactive, nous exécutons les techniques de ces groupes dans le périmètre que vous avez approuvé et vous remettons une carte ATT&CK indiquant ce qui a été bloqué, détecté ou manqué. L'abonnement aux informations sur les menaces est présenté sur la page Threat intelligence.
Sources
Toutes consultées le 2026-11-07.
- Lazarus Group, G0032, MITRE ATT&CK
- Kimsuky, G0094, MITRE ATT&CK
- APT37, G0067, MITRE ATT&CK
- Andariel, G0138, MITRE ATT&CK
- APT38, G0082, MITRE ATT&CK
- TraderTraitor: North Korean State-Sponsored APT Targets Blockchain Companies (AA22-108A), FBI · CISA · Département du Trésor des États-Unis, avril 2022
- UK and Republic of Korea issue warning about DPRK state-linked cyber actors attacking software supply chains, NCSC britannique · NIS coréen, novembre 2023
- North Korean Advanced Persistent Threat Focus: Kimsuky (AA20-301A), CISA · FBI · CNMF, octobre 2020
- North Korea Using Social Engineering to Enable Hacking of Think Tanks, Academia, and Media, NIS · Police nationale coréenne · ministère coréen des Affaires étrangères · FBI · Département d'État des États-Unis · NSA, juin 2023
- North Korean Actors Exploit Weak DMARC Security Policies to Mask Spearphishing Efforts, FBI et autres, mai 2024
- APT37 (Reaper): The Overlooked North Korean Actor, FireEye, 2018
- North Korean APT InkySquid Infects Victims Using Browser Exploits, Volexity, août 2021
- North Korea Cyber Group Conducts Global Espionage Campaign to Advance Regime's Military and Nuclear Programs (AA24-207A), FBI · CISA · NSA · NIS · Police nationale coréenne et autres, juillet 2024
- FASTCash 2.0: North Korea's BeagleBoyz Robbing Banks (AA20-239A), CISA · Département du Trésor des États-Unis · FBI · USCYBERCOM, août 2020
- APT38: Un-usual Suspects, FireEye, 2018