APT Down: The North Korea Files

Phrack 第 72 期 · 第 7 篇

这篇Phrack 72上的文章就像一部网络安全界的“谍战大片”，是来自匿名黑客（或黑客组织）的战果展示和深度剖析。本文揭开这层层技术黑话，看看背后那个惊心动魄的故事。

间谍的作坊被“一锅端”：深入朝鲜黑客组织Kimsuky的秘密与“翻车”现场

想象一下，你是一名顶尖的锁匠，不仅能打开世界上最复杂的门锁，还能在不被察觉的情况下，溜进另一位顶级间谍的秘密作坊。你打开灯，把他所有的工具、图纸、行动计划、甚至是写着密码的便签条，全部拍照公之于众。

这，就是这份名为《APT Down：朝鲜档案》的报告所做的事情。

报告的作者，署名“Saber/cyborg”，是一位真正的黑客。他以一种近乎艺术宣言的方式开篇，直接向他所揭露的目标——被广泛认为是朝鲜国家背景的黑客组织“Kimsuky”喊话：

“Kimsuky，你不是黑客……你被金钱的贪婪、领导的野心和政治的议程所驱动……我是一名黑客，我与你所代表的一切截然相反……我为了创造力的表达而‘黑’，为了与像我一样的艺术家分享知识。”

这不仅仅是一份技术报告，这是一场理念的对决。作者黑掉了一名他认定属于Kimsuky组织的成员（代号“KIM”）的工作站和服务器，并将所有机密“家底”都翻了出来，邀请全世界的安全专家、研究员和黑客们，一起来“参观”。

那么，这个间谍的作坊里，到底都藏着些什么？

一、惊人的“战利品”清单：国家命脉尽在掌握

作者公开的“赃物”令人咋舌，其攻击目标几乎全是韩国的“命脉”部门。这就像在一名间谍的电脑里，发现了针对五角大楼、中情局和国务院的详细攻击日志。

韩国国防反间谍司令部 (DCC)：这是韩国军队的核心情报机构，负责秘密行动和反间谍工作。日志显示，就在文件被曝光的三天前，KIM还在对该机构发动钓鱼攻击。

韩国外交部：KIM的电脑里有一个名为 mofa.go.kr.7z 的压缩包，里面竟然是韩国外交部电子邮件平台的完整源代码副本，看起来像是从其内部代码仓库（GitHub）里整个端走的。

韩国内部政府网络：日志和代码显示，KIM似乎拥有对一个名为 onnara9.saas.gcloud.go.kr 的服务器的访问权限。这是一个无法从公共互联网访问的韩国政府内部门户网站。KIM不仅能访问，还编写了自动化工具来查询里面的信息。

除此之外，受害者名单还包括韩国最高检察官办公室、韩国电信公司、LG Uplus移动运营商，甚至还有一家著名的自由派报纸《韩民族日报》。

二、间谍的“工具箱”：从隐形斗篷到万能钥匙

这份报告最珍贵的价值，在于它让我们看到了Kimsuky组织使用的“作案工具”的源代码和说明书。这些工具阴险而强大，但设计上却又出人意料地“粗糙”。

“发电机”钓鱼网站：这是一种高级钓鱼工具，可以快速生成一个与目标网站（比如国防反间谍司令部的登录页）几乎一模一样的假网站。当受害者被骗输入用户名和密码后，工具会巧妙地把他们重定向到官网一个真实的“登录错误”页面。这样一来，受害者只会以为自己输错了密码，浑然不知凭证已被盗走。

2. “Tomcat”内核级后门：这是KIM的王牌武器，一个极其隐蔽的远程后门。你可以把它想象成一个“魔法地道”。

它的隐蔽之处在于：它是一个内核模块（LKM），直接把自己植入操作系统的核心。它会监听网络上的所有连接，等待一个特定的“秘密握手信号”——一个由TCP序列号和IP ID组成的暗号。

一旦接收到暗号：它会立刻“劫持”这个网络连接，偷偷启动一个隐藏的用户程序，然后把连接转交给这个程序，从而为攻击者打开一个完全绕过防火墙和安全监控的“地道”，直通系统最高权限。

“灌木火”（Bushfire）漏洞利用工具：这是一个针对Ivanti公司VPN设备的漏洞攻击程序。有趣的是，安全公司Mandiant此前在野外发现了这个工具，并认为它来自一个与中国有关的黑客组织（UNC5221）。现在，它却出现在了Kimsuky黑客的桌面上，甚至还附带了“如果利用失败请联系我们”的文档。这强烈暗示了不同国家的APT组织之间可能存在着工具共享和技术支持。

三、“翻车”现场：当“精英间谍”忘了擦指纹

尽管目标高端、工具强大，但报告揭示的另一面却令人啼笑皆非：“精英间谍”KIM在个人操作安全（OPSEC）上，简直就像一个把银行卡密码写在卡背面的新手。

密码“大放送”：KIM的电脑桌面上有个 vps20240103.docx 的Word文档，里面存放了大量的密码，包括电子邮件和服务器的登录凭证，而且都能用！

后门“钥匙”随处丢：他开发的钓鱼网站管理后台，本应有密码保护，但代码里却有一个写死的“后门Cookie”。任何人只要知道了这个Cookie，就能绕过密码直接登录，轻松找到所有被盗凭证的日志。

身份信息“裸奔”：在注册 websecuritynotices.com 这个钓鱼域名时，KIM竟然把自己的个人邮箱 dysoni91.tutamail.com 公开地留在了域名记录（SOA）里，相当于罪犯在作案现场留下了自己的名片。

异想天开的“碰瓷”：更滑稽的是，KIM曾试图在Namecheap网站购买一个域名，用于钓鱼攻击。结果被平台封禁。当他联系客服要求解封时，客服竟然要求他提供：“能代表微软公司的授权文件，或者一份确认该域名与微软无关的声明。” 这一幕，堪称网络安全界的年度笑话。

四、所以呢？我们从中学到了什么？

这份报告的意义远超一次简单的“曝光”。

首先，它揭开了国家级黑客组织的神秘面纱。我们不再只能通过他们留下的恶意软件“盲人摸象”，而是能直接看到他们的工作流程、思维方式，甚至是他们的错误和疏漏。这为全球的网络防御者提供了极其宝贵的、可操作的情报。

其次，它展示了网络攻击的“人性”弱点。无论技术多高超，攻击者终究是人。他们会偷懒，会犯错，会走捷捷径。这些看似微小的疏忽，正是防御者和反击者的机会所在。

最后，它描绘了一幅复杂的全球网络战图景。工具的共享、目标的重叠、身份的模糊（KIM到底是中国人还是朝鲜人？报告也提出了疑问），都表明我们所面对的，不是一个个孤立的“黑客帝国”，而是一个相互关联、资源流通的地下网络。

正如报告作者“Saber”所言，他为了“美感”与“知识共享”而行动。通过这次“拆解”，他不仅羞辱了一个强大的对手，也为整个网络安全社区提供了一份无价的教材，让我们得以一窥那个隐秘世界里的真实样貌——既有高深的技术，也充满了凡人的错误。